Win32.Wplugin.2

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe system3_.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Yahoo Messengger' = '%HOMEPATH%\Desktop\system3_.exe'

Создает или изменяет следующие файлы

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

изменяет следующие системные настройки:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NofolderOptions' = '00000001'

Запускает на исполнение

'%WINDIR%\syswow64\at.exe' /delete /yes
'%WINDIR%\syswow64\at.exe' 09:00 /interactive /EVERY:m,t,w,th,f,s,su %HOMEPATH%\Desktop\system3_.exe

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\wplugin.dll
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7jdrrz7a\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7dgvchcf\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\39yo4jrc\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\b17absx0\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%HOMEPATH%\desktop\autorun.ini
%HOMEPATH%\desktop\system3_.exe
%WINDIR%\ws2help.dll
%WINDIR%\explorer.exe.local
%WINDIR%\wplugin.dll
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat

Присваивает атрибут 'скрытый' для следующих файлов

%HOMEPATH%\desktop\system3_.exe
%HOMEPATH%\desktop\autorun.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\b17absx0\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\39yo4jrc\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7dgvchcf\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7jdrrz7a\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini

Сетевая активность

TCP

Запросы HTTP GET

UDP

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C AT /delete /yes' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C AT 09:00 /interactive /EVERY:m,t,w,th,f,s,su %HOMEPATH%\Desktop\system3_.exe' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C AT /delete /yes
'%WINDIR%\syswow64\cmd.exe' /C AT 09:00 /interactive /EVERY:m,t,w,th,f,s,su %HOMEPATH%\Desktop\system3_.exe
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1