Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\RemoteRegistry] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\GLB1.tmp' 6144 <Полный путь к вирусу>
Запускает на исполнение:
- '<SYSTEM32>\cscript.exe' "%TEMP%\Machine\RupeeForadianFont\RegisterRupeeForadianFont.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\Machine\McAfeeCustomProps\CUSTOM~1.VBS"
- '<SYSTEM32>\wscript.exe' "%TEMP%\Machine\EDMCFix\edmcfix.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\Machine\MCDLLRename\MCDLLR~1.VBS"
- '<SYSTEM32>\wscript.exe' "%TEMP%\Machine\NotesBuddyList\NOTESB~1.VBS"
- '<SYSTEM32>\wscript.exe' %TEMP%\Machine\DNSSuffixList\ED5_AppendDNSSuffixlist.vbs WBG
- '<SYSTEM32>\net1.exe' Start "WebClient"
- '<SYSTEM32>\wscript.exe' "%TEMP%\Machine\FixINews\WBGTIC~2.VBS"
- '<SYSTEM32>\sc.exe' stop IBMPMSVC
- '<SYSTEM32>\wscript.exe' "%TEMP%\Machine\OUAdmin\LOCALA~1.VBS"
- '<SYSTEM32>\net1.exe' Stop "WebClient"
- '<SYSTEM32>\net.exe' Stop "WebClient"
- '<SYSTEM32>\net1.exe' START "RemoteRegistry"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Machine\SMS20\~GLH0039.TMP
- %TEMP%\Machine\SMS20\~GLH003a.TMP
- %TEMP%\Machine\SMS20\~GLH0038.TMP
- %TEMP%\Machine\SMS20\~GLH0036.TMP
- %TEMP%\Machine\SMS20\~GLH0037.TMP
- %TEMP%\Machine\SMS20\~GLH003b.TMP
- %TEMP%\Machine\SMS20\~GLH003f.TMP
- %TEMP%\Machine\SMS20\~GLH0040.TMP
- %TEMP%\Machine\SMS20\~GLH003e.TMP
- %TEMP%\Machine\SMS20\~GLH003c.TMP
- %TEMP%\Machine\SMS20\~GLH003d.TMP
- %TEMP%\Machine\SMS20\~GLH0035.TMP
- %TEMP%\Machine\SMS20\~GLH002d.TMP
- %TEMP%\Machine\SMS20\~GLH002e.TMP
- %TEMP%\Machine\SMS20\~GLH002c.TMP
- %TEMP%\Machine\SMS20\~GLH002a.TMP
- %TEMP%\Machine\SMS20\~GLH002b.TMP
- %TEMP%\Machine\SMS20\~GLH002f.TMP
- %TEMP%\Machine\SMS20\~GLH0033.TMP
- %TEMP%\Machine\SMS20\~GLH0034.TMP
- %TEMP%\Machine\SMS20\~GLH0032.TMP
- %TEMP%\Machine\SMS20\~GLH0030.TMP
- %TEMP%\Machine\SMS20\~GLH0031.TMP
- %PROGRAM_FILES%\IBM\Lotus\Notes\framework\rcp\~GLH0050.TMP
- C:\WBG\Scripts\~GLH0051.TMP
- C:\WBG\Utility\~GLH004f.TMP
- %TEMP%\Machine\VPNProfile\NewProfiles\~GLH004d.TMP
- %TEMP%\Machine\VPNProfile\NewProfiles\~GLH004e.TMP
- C:\temp\cd\download\Cache\~GLH0052.TMP
- %PROGRAM_FILES%\IBM\Lotus\Notes\framework\rcp\plugin_customization.ini
- C:\WBG\Logs\MachineScripts5.LOG
- C:\WBG\Scripts\~GLH0054.TMP
- C:\temp\cd\download\Cache\~GLH0053.TMP
- %WINDIR%\Fonts\Rupee_Foradian.ttf
- %TEMP%\Machine\VPNProfile\~GLH004c.TMP
- %TEMP%\Machine\SMS20\~GLH0044.TMP
- %TEMP%\Machine\SMS20\~GLH0045.TMP
- %TEMP%\Machine\SMS20\~GLH0043.TMP
- %TEMP%\Machine\SMS20\~GLH0041.TMP
- %TEMP%\Machine\SMS20\~GLH0042.TMP
- %TEMP%\Machine\SMS20\~GLH0046.TMP
- %TEMP%\Machine\SMS20\~GLH004a.TMP
- %TEMP%\Machine\SMS20\~GLH004b.TMP
- %TEMP%\Machine\SMS20\~GLH0049.TMP
- %TEMP%\Machine\SMS20\~GLH0047.TMP
- %TEMP%\Machine\SMS20\~GLH0048.TMP
- %TEMP%\Machine\SMS20\~GLH0029.TMP
- %TEMP%\Machine\EnableNSDService\~GLH000a.TMP
- %TEMP%\Machine\FixINews\~GLH000b.TMP
- %TEMP%\Machine\EDMCFix\~GLH0009.TMP
- %TEMP%\Machine\DocumentumFix\~GLH0007.TMP
- %TEMP%\Machine\DocumentumFix\~GLH0008.TMP
- %TEMP%\Machine\FixINews\~GLH000c.TMP
- %TEMP%\Machine\McAfeeCustomProps\~GLH0010.TMP
- %TEMP%\Machine\MCDLLRename\~GLH0011.TMP
- %TEMP%\Machine\LLOGOUT\~GLH000f.TMP
- %TEMP%\Machine\FixINews\~GLH000d.TMP
- %TEMP%\Machine\ISUSPM_Uninstall\~GLH000e.TMP
- %TEMP%\Machine\DocumentumFix\~GLH0006.TMP
- %TEMP%\GLW4.tmp
- %TEMP%\GLG6.tmp
- %TEMP%\GLK3.tmp
- %TEMP%\GLB1.tmp
- %TEMP%\GLC2.tmp
- %TEMP%\Machine\~GLH0000.TMP
- %TEMP%\Machine\DisableJVMProperties\~GLH0004.TMP
- %TEMP%\Machine\DNSSuffixList\~GLH0005.TMP
- %TEMP%\Machine\8021x\~GLH0003.TMP
- %TEMP%\Machine\8021x\~GLH0001.TMP
- %TEMP%\Machine\8021x\~GLH0002.TMP
- %TEMP%\Machine\SAP & BW\Open Text\Document Pipelines\~GLH0021.TMP
- %TEMP%\Machine\SAP & BW\Open Text\Livelink Imaging\~GLH0022.TMP
- %TEMP%\Machine\SAP & BW\Open Text\~GLH0020.TMP
- %TEMP%\Machine\RupeeForadianFont\~GLH001e.TMP
- %TEMP%\Machine\SametimeAutoLogonFix\~GLH001f.TMP
- %TEMP%\Machine\SAP & BW\Open Text\Livelink Imaging\~GLH0023.TMP
- %TEMP%\Machine\SMS20\~GLH0027.TMP
- %TEMP%\Machine\SMS20\~GLH0028.TMP
- %TEMP%\Machine\SMS20\~GLH0026.TMP
- %TEMP%\Machine\SAP & BW\Open Text\Scan\~GLH0024.TMP
- %TEMP%\Machine\SAPINI\~GLH0025.TMP
- %TEMP%\Machine\RupeeForadianFont\~GLH001d.TMP
- %TEMP%\Machine\NotesPresetFeeds\~GLH0015.TMP
- %TEMP%\Machine\NotesPresetFeeds\~GLH0016.TMP
- %TEMP%\Machine\NotesPresetFeeds\~GLH0014.TMP
- %TEMP%\Machine\newWMI\~GLH0012.TMP
- %TEMP%\Machine\NotesBuddyList\~GLH0013.TMP
- %TEMP%\Machine\OUAdmin\~GLH0017.TMP
- %TEMP%\Machine\PGFIX_PSEXEC\~GLH001b.TMP
- %TEMP%\Machine\RASPOST\~GLH001c.TMP
- %TEMP%\Machine\PGFIX_PSEXEC\~GLH001a.TMP
- %TEMP%\Machine\OUAdmin\~GLH0018.TMP
- %TEMP%\Machine\PGFIX_PSEXEC\~GLH0019.TMP
Удаляет следующие файлы:
- %TEMP%\GLK3.tmp
- %TEMP%\GLC2.tmp
- %TEMP%\GLB1.tmp
- %TEMP%\GLW4.tmp
- %PROGRAM_FILES%\IBM\Lotus\Notes\framework\rcp\plugin_customization.ini
- %TEMP%\GLG6.tmp
Перемещает следующие файлы:
- %TEMP%\Machine\SMS20\~GLH0039.TMP в %TEMP%\Machine\SMS20\reg.exe
- %TEMP%\Machine\SMS20\~GLH003a.TMP в %TEMP%\Machine\SMS20\servicelist.txt
- %TEMP%\Machine\SMS20\~GLH0038.TMP в %TEMP%\Machine\SMS20\pskill.exe
- %TEMP%\Machine\SMS20\~GLH0036.TMP в %TEMP%\Machine\SMS20\man.ini.en
- %TEMP%\Machine\SMS20\~GLH0037.TMP в %TEMP%\Machine\SMS20\man.wsf
- %TEMP%\Machine\SMS20\~GLH003e.TMP в %TEMP%\Machine\SMS20\TEMPREM.BAT
- %TEMP%\Machine\SMS20\~GLH003f.TMP в %TEMP%\Machine\SMS20\update_mof.bat
- %TEMP%\Machine\SMS20\~GLH003d.TMP в %TEMP%\Machine\SMS20\SMS_ACL.BAT
- %TEMP%\Machine\SMS20\~GLH003b.TMP в %TEMP%\Machine\SMS20\Setevnt.exe
- %TEMP%\Machine\SMS20\~GLH003c.TMP в %TEMP%\Machine\SMS20\sleep.exe
- %TEMP%\Machine\SMS20\~GLH0035.TMP в %TEMP%\Machine\SMS20\LOG.BAT
- %TEMP%\Machine\SMS20\~GLH002e.TMP в %TEMP%\Machine\SMS20\ipadd.txt
- %TEMP%\Machine\SMS20\~GLH002f.TMP в %TEMP%\Machine\SMS20\ipccr.txt
- %TEMP%\Machine\SMS20\~GLH002d.TMP в %TEMP%\Machine\SMS20\homeou.txt
- %TEMP%\Machine\SMS20\~GLH002b.TMP в %TEMP%\Machine\SMS20\FindLDAPPath.exe
- %TEMP%\Machine\SMS20\~GLH002c.TMP в %TEMP%\Machine\SMS20\Hammer.exe
- %TEMP%\Machine\SMS20\~GLH0033.TMP в %TEMP%\Machine\SMS20\localad.cmd
- %TEMP%\Machine\SMS20\~GLH0034.TMP в %TEMP%\Machine\SMS20\localad.vbs
- %TEMP%\Machine\SMS20\~GLH0032.TMP в %TEMP%\Machine\SMS20\Kill.exe
- %TEMP%\Machine\SMS20\~GLH0030.TMP в %TEMP%\Machine\SMS20\IPCCRTS2.TXT
- %TEMP%\Machine\SMS20\~GLH0031.TMP в %TEMP%\Machine\SMS20\ipcoadd.txt
- %TEMP%\Machine\VPNProfile\NewProfiles\~GLH004e.TMP в %TEMP%\Machine\VPNProfile\NewProfiles\World Bank DC2.pcf
- C:\WBG\Utility\~GLH004f.TMP в C:\WBG\Utility\Local Area Connection-Machine-Cert.xml
- %TEMP%\Machine\VPNProfile\NewProfiles\~GLH004d.TMP в %TEMP%\Machine\VPNProfile\NewProfiles\World Bank DC1.pcf
- %TEMP%\Machine\SMS20\~GLH004b.TMP в %TEMP%\Machine\SMS20\WBG_ED_remove.mof
- %TEMP%\Machine\VPNProfile\~GLH004c.TMP в %TEMP%\Machine\VPNProfile\vpnclient.ini
- C:\temp\cd\download\Cache\~GLH0053.TMP в C:\temp\cd\download\Cache\ipcoadd.txt
- C:\WBG\Scripts\~GLH0054.TMP в C:\WBG\Scripts\LLOGOUT.WSF
- C:\temp\cd\download\Cache\~GLH0052.TMP в C:\temp\cd\download\Cache\ipadd.txt
- %PROGRAM_FILES%\IBM\Lotus\Notes\framework\rcp\~GLH0050.TMP в %PROGRAM_FILES%\IBM\Lotus\Notes\framework\rcp\plugin_customization.ini
- C:\WBG\Scripts\~GLH0051.TMP в C:\WBG\Scripts\WMI.WSF
- %TEMP%\Machine\SMS20\~GLH004a.TMP в %TEMP%\Machine\SMS20\WBG_ED_ADR.MOF
- %TEMP%\Machine\SMS20\~GLH0043.TMP в %TEMP%\Machine\SMS20\WBGSMS.vbs
- %TEMP%\Machine\SMS20\~GLH0044.TMP в %TEMP%\Machine\SMS20\WBGSMStest.vbs
- %TEMP%\Machine\SMS20\~GLH0042.TMP в %TEMP%\Machine\SMS20\WBGResetWMI.cmd
- %TEMP%\Machine\SMS20\~GLH0040.TMP в %TEMP%\Machine\SMS20\WBGCliCln.bat
- %TEMP%\Machine\SMS20\~GLH0041.TMP в %TEMP%\Machine\SMS20\WBGCLICLN.BK1
- %TEMP%\Machine\SMS20\~GLH0048.TMP в %TEMP%\Machine\SMS20\WBG_ED.mof
- %TEMP%\Machine\SMS20\~GLH0049.TMP в %TEMP%\Machine\SMS20\wbg_ed4_rm.mof
- %TEMP%\Machine\SMS20\~GLH0047.TMP в %TEMP%\Machine\SMS20\WBG_Chk_logs.cmd
- %TEMP%\Machine\SMS20\~GLH0045.TMP в %TEMP%\Machine\SMS20\WBGSysMgr.exe
- %TEMP%\Machine\SMS20\~GLH0046.TMP в %TEMP%\Machine\SMS20\WBG_AdminGrps.cmd
- %TEMP%\Machine\SMS20\~GLH002a.TMP в %TEMP%\Machine\SMS20\EMPTY.TXT
- %TEMP%\Machine\ISUSPM_Uninstall\~GLH000e.TMP в %TEMP%\Machine\ISUSPM_Uninstall\ISUSPM-Uninstall.exe
- %TEMP%\Machine\LLOGOUT\~GLH000f.TMP в %TEMP%\Machine\LLOGOUT\LLOGOUT.WSF
- %TEMP%\Machine\FixINews\~GLH000d.TMP в %TEMP%\Machine\FixINews\WBGTicker_invt_v3.vbs
- %TEMP%\Machine\FixINews\~GLH000b.TMP в %TEMP%\Machine\FixINews\FixINews.exe
- %TEMP%\Machine\FixINews\~GLH000c.TMP в %TEMP%\Machine\FixINews\WBGTicker_invt.vbs
- %TEMP%\Machine\NotesBuddyList\~GLH0013.TMP в %TEMP%\Machine\NotesBuddyList\NotesBuddyList.vbs
- %TEMP%\Machine\NotesPresetFeeds\~GLH0014.TMP в %TEMP%\Machine\NotesPresetFeeds\presetfeeds.opml
- %TEMP%\Machine\newWMI\~GLH0012.TMP в %TEMP%\Machine\newWMI\WMI.WSF
- %TEMP%\Machine\McAfeeCustomProps\~GLH0010.TMP в %TEMP%\Machine\McAfeeCustomProps\CustomProps.VBS
- %TEMP%\Machine\MCDLLRename\~GLH0011.TMP в %TEMP%\Machine\MCDLLRename\MCDLLRename.vbs
- %TEMP%\Machine\EnableNSDService\~GLH000a.TMP в %TEMP%\Machine\EnableNSDService\install_start_nsd_service.bat
- %TEMP%\Machine\8021x\~GLH0003.TMP в %TEMP%\Machine\8021x\Local Area Connection.xml
- %TEMP%\Machine\DisableJVMProperties\~GLH0004.TMP в %TEMP%\Machine\DisableJVMProperties\jvm.properties
- %TEMP%\Machine\8021x\~GLH0002.TMP в %TEMP%\Machine\8021x\Local Area Connection-User.xml
- %TEMP%\Machine\~GLH0000.TMP в %TEMP%\Machine\Local Area Connection-Machine-Cert.xml
- %TEMP%\Machine\8021x\~GLH0001.TMP в %TEMP%\Machine\8021x\Local Area Connection-Machine-Cert.xml
- %TEMP%\Machine\DocumentumFix\~GLH0008.TMP в %TEMP%\Machine\DocumentumFix\WINWORD.exe.config
- %TEMP%\Machine\EDMCFix\~GLH0009.TMP в %TEMP%\Machine\EDMCFix\edmcfix.vbs
- %TEMP%\Machine\DocumentumFix\~GLH0007.TMP в %TEMP%\Machine\DocumentumFix\POWERPNT.exe.config
- %TEMP%\Machine\DNSSuffixList\~GLH0005.TMP в %TEMP%\Machine\DNSSuffixList\ED5_AppendDNSSuffixlist.vbs
- %TEMP%\Machine\DocumentumFix\~GLH0006.TMP в %TEMP%\Machine\DocumentumFix\EXCEL.exe.config
- %TEMP%\Machine\SAP & BW\Open Text\Livelink Imaging\~GLH0023.TMP в %TEMP%\Machine\SAP & BW\Open Text\Livelink Imaging\Livelink Desktop Monitor.lnk
- %TEMP%\Machine\SAP & BW\Open Text\Scan\~GLH0024.TMP в %TEMP%\Machine\SAP & BW\Open Text\Scan\Enterprise Scan.lnk
- %TEMP%\Machine\SAP & BW\Open Text\Livelink Imaging\~GLH0022.TMP в %TEMP%\Machine\SAP & BW\Open Text\Livelink Imaging\Livelink Archive Windows Viewer.lnk
- %TEMP%\Machine\SAP & BW\Open Text\~GLH0020.TMP в %TEMP%\Machine\SAP & BW\Open Text\Livelink Archive Windows Viewer.lnk
- %TEMP%\Machine\SAP & BW\Open Text\Document Pipelines\~GLH0021.TMP в %TEMP%\Machine\SAP & BW\Open Text\Document Pipelines\Pipeline Info.lnk
- %TEMP%\Machine\SMS20\~GLH0028.TMP в %TEMP%\Machine\SMS20\CCRADD.bat
- %TEMP%\Machine\SMS20\~GLH0029.TMP в %TEMP%\Machine\SMS20\dummy.cmd
- %TEMP%\Machine\SMS20\~GLH0027.TMP в %TEMP%\Machine\SMS20\ccmclean.exe
- %TEMP%\Machine\SAPINI\~GLH0025.TMP в %TEMP%\Machine\SAPINI\saplogon.ini
- %TEMP%\Machine\SMS20\~GLH0026.TMP в %TEMP%\Machine\SMS20\ADDLOC.vbs
- %TEMP%\Machine\SametimeAutoLogonFix\~GLH001f.TMP в %TEMP%\Machine\SametimeAutoLogonFix\plugin_customization.ini
- %TEMP%\Machine\OUAdmin\~GLH0018.TMP в %TEMP%\Machine\OUAdmin\LocalAdmin.vbs
- %TEMP%\Machine\PGFIX_PSEXEC\~GLH0019.TMP в %TEMP%\Machine\PGFIX_PSEXEC\EnableCertChainCheck_x86.reg
- %TEMP%\Machine\OUAdmin\~GLH0017.TMP в %TEMP%\Machine\OUAdmin\LocalAdmin.old
- %TEMP%\Machine\NotesPresetFeeds\~GLH0015.TMP в %TEMP%\Machine\NotesPresetFeeds\WBE.MDM
- %TEMP%\Machine\NotesPresetFeeds\~GLH0016.TMP в %TEMP%\Machine\NotesPresetFeeds\WBI.MDM
- %TEMP%\Machine\RupeeForadianFont\~GLH001d.TMP в %TEMP%\Machine\RupeeForadianFont\RegisterRupeeForadianFont.vbs
- %TEMP%\Machine\RupeeForadianFont\~GLH001e.TMP в %TEMP%\Machine\RupeeForadianFont\Rupee_Foradian.ttf
- %TEMP%\Machine\RASPOST\~GLH001c.TMP в %TEMP%\Machine\RASPOST\RasPost.wsf
- %TEMP%\Machine\PGFIX_PSEXEC\~GLH001a.TMP в %TEMP%\Machine\PGFIX_PSEXEC\PGHook.dll
- %TEMP%\Machine\PGFIX_PSEXEC\~GLH001b.TMP в %TEMP%\Machine\PGFIX_PSEXEC\PrivilegeGuardService.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
