Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\MICROSOFT\WINDOWS NT\CURRENTVERSION\Winlogon] 'Userinit' = '%WINDIR%\userinit.exe,%WINDIR%\svchost.exe'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\install.exe
- %ProgramFiles(x86)%\mozilla thunderbird\plugins\~glh000b.tmp
- %WINDIR%\cwhidden.txt
- %ProgramFiles(x86)%\mozilla firefox\components\~glh0008.tmp
- %ProgramFiles(x86)%\mozilla firefox\plugins\~glh0007.tmp
- %ProgramFiles%\mozill~1\plugins\temp.000
- %TEMP%\sw010101\~glh0004.tmp
- %TEMP%\sw010101\~glh0003.tmp
- %TEMP%\sw010101\~glh0002.tmp
- %TEMP%\sw010101\~glh0001.tmp
- %TEMP%\~glh0000.tmp
- %WINDIR%\svchost.exe
- %WINDIR%\picformat32.ocx
- %WINDIR%\picformat32.dll
- %WINDIR%\hidden.exe
- %TEMP%\glcffb2.tmp
- %TEMP%\glbfdfd.tmp
- %WINDIR%\cwhidden.bat
- %WINDIR%\msinet.ocx
- %WINDIR%\explore.exe
- %ProgramFiles(x86)%\mozilla thunderbird\components\~glh000c.tmp
- %WINDIR%\cw-hidden.txt
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\svchost.exe
- %WINDIR%\hidden.exe
- %WINDIR%\cwhidden.bat
- %WINDIR%\msinet.ocx
- %WINDIR%\picformat32.ocx
- %WINDIR%\picformat32.dll
Удаляет следующие файлы
- %TEMP%\sw010101\flashplayer.xpt
- %TEMP%\sw010101\getflash.exe
- %TEMP%\sw010101\getflash.man
- %TEMP%\sw010101\npswf32.dll
- %TEMP%\glf3d9.tmp
- %TEMP%\glcffb2.tmp
- %TEMP%\glbfdfd.tmp
Перемещает следующие файлы
- %TEMP%\~glh0000.tmp в %TEMP%\glf3d9.tmp
- %TEMP%\sw010101\~glh0001.tmp в %TEMP%\sw010101\flashplayer.xpt
- %TEMP%\sw010101\~glh0002.tmp в %TEMP%\sw010101\getflash.exe
- %TEMP%\sw010101\~glh0003.tmp в %TEMP%\sw010101\getflash.man
- %TEMP%\sw010101\~glh0004.tmp в %TEMP%\sw010101\npswf32.dll
- %ProgramFiles%\mozill~1\plugins\temp.000 в %ProgramFiles%\mozill~1\plugins\~glh0005.tmp
- %ProgramFiles%\mozill~1\plugins\~glh0005.tmp в %ProgramFiles%\mozill~1\plugins\npswf32.dll
- %ProgramFiles%\mozill~1\plugins\temp.000 в %ProgramFiles%\mozill~1\plugins\~glh0006.tmp
- %ProgramFiles%\mozill~1\plugins\~glh0006.tmp в %ProgramFiles%\mozill~1\plugins\getflash.exe
- %ProgramFiles(x86)%\mozilla firefox\plugins\~glh0007.tmp в %ProgramFiles(x86)%\mozilla firefox\plugins\getflash.exe.manifest
- %ProgramFiles(x86)%\mozilla firefox\components\~glh0008.tmp в %ProgramFiles(x86)%\mozilla firefox\components\flashplayer.xpt
- %ProgramFiles%\mozill~1\plugins\temp.000 в %ProgramFiles%\mozill~1\plugins\~glh0009.tmp
- %ProgramFiles%\mozill~1\plugins\~glh0009.tmp в %ProgramFiles%\mozill~1\plugins\npswf32.dll
- %ProgramFiles%\mozill~1\plugins\temp.000 в %ProgramFiles%\mozill~1\plugins\~glh000a.tmp
- %ProgramFiles(x86)%\mozilla thunderbird\plugins\~glh000b.tmp в %ProgramFiles(x86)%\mozilla thunderbird\plugins\getflash.exe.manifest
- %ProgramFiles(x86)%\mozilla thunderbird\components\~glh000c.tmp в %ProgramFiles(x86)%\mozilla thunderbird\components\flashplayer.xpt
Подменяет следующие файлы
- %ProgramFiles%\mozill~1\plugins\temp.000
- %ProgramFiles%\mozill~1\plugins\getflash.exe
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\explore.exe'
- '%WINDIR%\install.exe'
- '%TEMP%\glbfdfd.tmp' 4736 %WINDIR%\install.exe
- '%WINDIR%\svchost.exe'
- '%WINDIR%\hidden.exe'
- '%WINDIR%\syswow64\regsvr32.exe' PicFormat32.dll /s' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /cC:/Windows/CWHidden.bat > C:/Windows/CW-Hidden.txt' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' PicFormat32.dll /s
- '%WINDIR%\explorer.exe'
- '%WINDIR%\syswow64\cmd.exe' /cC:/Windows/CWHidden.bat > C:/Windows/CW-Hidden.txt
- '%WINDIR%\syswow64\systeminfo.exe'
- '%WINDIR%\syswow64\net.exe' user
- '%WINDIR%\syswow64\net1.exe' user
