Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\setup1.exe' "C:\TEMP\RA\Package\" "%WINDIR%\ST5UNST.000" "%WINDIR%\ST5UNST.EXE"
- 'C:\TEMP\RA\Package\SETUP.EXE'
Запускает на исполнение:
- '%WINDIR%\regedit.exe' -s Norton_noscanDir.reg
- '<SYSTEM32>\cmd.exe' /c ""C:\TEMP\RA\install.bat" "
Изменения в файловой системе:
Создает следующие файлы:
- C:\TEMP\RA\Package\StdOle2.tl_
- C:\TEMP\RA\Package\VB5FR.dl_
- C:\TEMP\RA\Package\VB5StKit.dl_
- C:\TEMP\RA\Package\ST5UNST.EX_
- C:\TEMP\RA\Package\setup1.ex_
- C:\TEMP\RA\Package\Slave.da_
- C:\TEMP\RA\Package\SlaveInstall.re_
- C:\TEMP\RA\Package\WinSkFR.dl_
- %HOMEPATH%\Start Menu\Programs\Demarrage\ST5UNST Uninstaller.LNK
- <SYSTEM32>\temp.000
- %WINDIR%\SETUP.LST
- C:\TEMP\RA\install.bat
- %WINDIR%\ST5UNST.000
- %WINDIR%\temp.000
- C:\TEMP\RA\Package\DNE.re_
- C:\TEMP\RA\Package\DNI.re_
- C:\TEMP\RA\Package\MSVBVM50.dl_
- C:\TEMP\RA\Package\DCS.re_
- C:\TEMP\RA\Package\AsycFilt.dl_
- C:\TEMP\RA\Package\ComCat.dl_
- C:\TEMP\RA\Package\Ctl3d32.dl_
- C:\TEMP\RA\Package\MSWINSCK.OC_
- C:\TEMP\RA\Package\Remote_Anything.lnk
- C:\TEMP\RA\Package\SETUP.EXE
- C:\TEMP\RA\Package\SETUP.LST
- C:\TEMP\RA\Package\ra_slave.ex_
- C:\TEMP\RA\Package\Norton_noscanDir.reg
- C:\TEMP\RA\Package\OleAut32.dl_
- C:\TEMP\RA\Package\OlePro32.dl_
Перемещает следующие файлы:
- <SYSTEM32>\temp.000 в <SYSTEM32>\VB5StKit.dll
- <SYSTEM32>\temp.000 в <SYSTEM32>\VB5FR.dll
- %WINDIR%\temp.000 в %WINDIR%\ST5UNST.EXE
- %WINDIR%\temp.000 в %WINDIR%\setup1.exe
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'GVBSetupInit' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
