Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\xslfile\shell\Open\command] '' = ''
- [<HKLM>\SOFTWARE\Classes\xmlfile\shell\Open\command] '' = ''
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' <SYSTEM32>\msxml3.dll /s
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RGIB.tmp
- %TEMP%\RGIC.tmp
- %TEMP%\RGI9.tmp
- %TEMP%\RGIA.tmp
- %TEMP%\RGIF.tmp
- %TEMP%\RGI10.tmp
- %TEMP%\RGID.tmp
- %TEMP%\RGIE.tmp
- %TEMP%\RGI3.tmp
- %TEMP%\RGI4.tmp
- %TEMP%\RGI1.tmp
- %TEMP%\RGI2.tmp
- %TEMP%\RGI7.tmp
- %TEMP%\RGI8.tmp
- %TEMP%\RGI5.tmp
- %TEMP%\RGI6.tmp
Удаляет следующие файлы:
- %TEMP%\RGIB.tmp
- %TEMP%\RGIC.tmp
- %TEMP%\RGI9.tmp
- %TEMP%\RGIA.tmp
- %TEMP%\RGIF.tmp
- %TEMP%\RGI10.tmp
- %TEMP%\RGID.tmp
- %TEMP%\RGIE.tmp
- %TEMP%\RGI3.tmp
- %TEMP%\RGI4.tmp
- %TEMP%\RGI1.tmp
- %TEMP%\RGI2.tmp
- %TEMP%\RGI7.tmp
- %TEMP%\RGI8.tmp
- %TEMP%\RGI5.tmp
- %TEMP%\RGI6.tmp
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
