Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Asapi] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\IWUninstall.exe -add ASAPI
- %WINDIR%\Temp\_ISTMP1.DIR\0001AB8D._MP
Запускает на исполнение:
- <SYSTEM32>\ntvdm.exe -f -i1 -w -a <SYSTEM32>\krnl386.exe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\ntvdm.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\_delis43.ini
- %WINDIR%\_ISENV31.INI
- %TEMP%\pft3~tmp\setup.log
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\Ctl3d32.dll
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\Corecomp.ini
- %WINDIR%\_iserr31.ini
- %WINDIR%\Temp\_ISTMP1.DIR\0001AB8D._MP
- %WINDIR%\Temp\scs5.tmp
- %WINDIR%\Temp\_ISTMP1.DIR\ZDATAI51.DLL
- %WINDIR%\Temp\_ISTMP1.DIR\_INS0432.INI
- %WINDIR%\Temp\_ISTMP1.DIR\_WUTL951.DLL
- <SYSTEM32>\asapi.dll
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\FileGrp\asapi.dll
- <DRIVERS>\asapi.sys
- %PROGRAM_FILES%\VOB\ASAPI Update\IWuninstall.728
- <SYSTEM32>\vobhw.dll
- %PROGRAM_FILES%\VOB\ASAPI Update\ASAPI.isu
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\_isres.dll
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\ISUninst.728
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\IWUninstall.728
- %WINDIR%\IsUninst.exe
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\value.shl
- %TEMP%\pft3~tmp\os.dat
- %TEMP%\pft3~tmp\lang.dat
- %TEMP%\pft3~tmp\_Setup.dll
- %TEMP%\pft3~tmp\_sys1.hdr
- %TEMP%\pft3~tmp\setup.ins
- %TEMP%\pft3~tmp\_ISDel.exe
- %TEMP%\plf1.tmp
- %TEMP%\ext2.tmp
- %TEMP%\pft3~tmp\pftw1.pkg
- %TEMP%\pft3~tmp\_INST32I.EX_
- %TEMP%\pft3~tmp\Setup.exe
- %TEMP%\pft3~tmp\data1.cab
- %TEMP%\pft3~tmp\data1.hdr
- %TEMP%\pft3~tmp\layout.bin
- %WINDIR%\Temp\scs4.tmp
- %TEMP%\pft3~tmp\setup.iss
- %TEMP%\pft3~tmp\setup.lid
- %TEMP%\pft3~tmp\_user1.hdr
- %TEMP%\pft3~tmp\_sys1.cab
- %TEMP%\pft3~tmp\_user1.cab
- %TEMP%\pft3~tmp\SETUP.INI
- %TEMP%\pft3~tmp\DATA.TAG
Удаляет следующие файлы:
- %TEMP%\pft3~tmp\Setup.exe
- %TEMP%\pft3~tmp\os.dat
- %TEMP%\pft3~tmp\setup.ins
- %TEMP%\pft3~tmp\SETUP.INI
- %TEMP%\pft3~tmp\layout.bin
- %TEMP%\pft3~tmp\data1.cab
- %TEMP%\pft3~tmp\DATA.TAG
- %TEMP%\pft3~tmp\lang.dat
- %TEMP%\pft3~tmp\data1.hdr
- %TEMP%\pft3~tmp\setup.iss
- %TEMP%\pft3~tmp\_sys1.hdr
- %TEMP%\pft3~tmp\_sys1.cab
- %TEMP%\pft3~tmp\_user1.hdr
- %TEMP%\pft3~tmp\_user1.cab
- %TEMP%\pft3~tmp\_Setup.dll
- %TEMP%\pft3~tmp\setup.log
- %TEMP%\pft3~tmp\setup.lid
- %TEMP%\pft3~tmp\_ISDel.exe
- %TEMP%\pft3~tmp\_INST32I.EX_
- %WINDIR%\_ISENV31.INI
- %WINDIR%\_iserr31.ini
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\Corecomp.ini
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\1c35a.DLL
- %WINDIR%\Temp\_ISTMP1.DIR\_INS0432.INI
- %TEMP%\pft3~tmp\pftw1.pkg
- %TEMP%\ext2.tmp
- %WINDIR%\Temp\scs5.tmp
- %WINDIR%\Temp\scs4.tmp
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\Ctl3d32.dll
- %WINDIR%\Temp\_ISTMP1.DIR\_WUTL951.DLL
- %WINDIR%\Temp\_ISTMP1.DIR\ZDATAI51.DLL
- %TEMP%\plf1.tmp
- %WINDIR%\_delis43.ini
- %WINDIR%\Temp\_ISTMP1.DIR\0001AB8D._MP
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\IWUninstall.exe
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\ISUninst.exe
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\FileGrp\asapi.dll
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\value.shl
Перемещает следующие файлы:
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\_isres.dll в %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\1c35a.DLL
- %PROGRAM_FILES%\VOB\ASAPI Update\IWuninstall.728 в %PROGRAM_FILES%\VOB\ASAPI Update\IWuninstall.exe
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\ISUninst.728 в %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\ISUninst.exe
- %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\IWUninstall.728 в %WINDIR%\Temp\_ISTMP1.DIR\_ISTMP0.DIR\IWUninstall.exe
Другое:
Ищет следующие окна:
- ClassName: 'WOWFaxClass' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
