Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\DLPOut.Document\Shell\Open\Command] '' = '%WINDIR%\DSEOFPSLite.exe "%1"'
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsiede7.tmp
- %WINDIR%\syswow64\5197\res\shell1.png
- %WINDIR%\syswow64\signature_pdf.dll
- <SYSTEM32>\dlpoutfileicons64.dll
- %WINDIR%\syswow64\dlpoutfileicons.dll
- %WINDIR%\syswow64\5197\drvinterface.dll.new
- %WINDIR%\syswow64\5197\drvinterface64.dll.new
- %WINDIR%\syswow64\5197\dlpoutfileiconsoverlay64.dll.new
- %WINDIR%\syswow64\5197\dlpoutfileiconsoverlay.dll.new
- %WINDIR%\syswow64\5197\ntkooledocall.inf.new
- %WINDIR%\syswow64\5197\ntkocmnres.dll.new
- %WINDIR%\syswow64\5197\ntkolmpkcs11.dll.ocx.new
- %WINDIR%\syswow64\5197\officecontrol.ocx.new
- %WINDIR%\syswow64\5197\iwebpdf.ocx.new
- %WINDIR%\syswow64\5197\signaturesetenv.exe.new
- %WINDIR%\syswow64\5197\signature_pdf.dll.new
- %WINDIR%\dseofpslite.exe.new
- %TEMP%\nsyedf8.tmp\callansiplugin.dll
- %TEMP%\nsyedf8.tmp\client_servercfg_lite.ini
- %TEMP%\nsyedf8.tmp\simplesc.dll
- %TEMP%\nsyedf8.tmp\simplefc.dll
- %TEMP%\nsyedf8.tmp\system.dll
- %WINDIR%\syswow64\5197\dlpoutuninstall.exe
- %TEMP%\nsyedf8.tmp\nsprocessw.dll
Перемещает следующие файлы
- %WINDIR%\dseofpslite.exe.new в %WINDIR%\dseofpslite.exe
- %WINDIR%\syswow64\5197\signature_pdf.dll.new в %WINDIR%\syswow64\5197\signature_pdf.dll
- %WINDIR%\syswow64\5197\signaturesetenv.exe.new в %WINDIR%\syswow64\5197\signaturesetenv.exe
- %WINDIR%\syswow64\5197\iwebpdf.ocx.new в %WINDIR%\syswow64\5197\iwebpdf.ocx
- %WINDIR%\syswow64\5197\officecontrol.ocx.new в %WINDIR%\syswow64\5197\officecontrol.ocx
- %WINDIR%\syswow64\5197\ntkocmnres.dll.new в %WINDIR%\syswow64\5197\ntkocmnres.dll
- %WINDIR%\syswow64\5197\ntkooledocall.inf.new в %WINDIR%\syswow64\5197\ntkooledocall.inf
- %WINDIR%\syswow64\5197\dlpoutfileiconsoverlay.dll.new в %WINDIR%\syswow64\5197\dlpoutfileiconsoverlay.dll
- %WINDIR%\syswow64\5197\dlpoutfileiconsoverlay64.dll.new в %WINDIR%\syswow64\5197\dlpoutfileiconsoverlay64.dll
- %WINDIR%\syswow64\5197\drvinterface64.dll.new в %WINDIR%\syswow64\5197\drvinterface64.dll
- %WINDIR%\syswow64\5197\drvinterface.dll.new в %WINDIR%\syswow64\5197\drvinterface.dll
Подменяет следующие файлы
- %WINDIR%\syswow64\5197\officecontrol.ocx.new
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'Media Center Tray Applet' WindowName: ''
- ClassName: '' WindowName: 'View Available Networks'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\dseofpslite.exe' -regtype
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /s "<SYSTEM32>\DlpOutFileIcons64.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%WINDIR%\SysWOW64\5197\OfficeControl.ocx"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%WINDIR%\SysWOW64\5197\Signature_PDF.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%WINDIR%\SysWOW64\5197\iWebPDF.ocx"
- '%WINDIR%\syswow64\regsvr32.exe' /s /u "%WINDIR%\SysWOW64\5197\DlpOutFileIconsOverlay64.dll"
- '<SYSTEM32>\regsvr32.exe' /s /u "%WINDIR%\SysWOW64\5197\DlpOutFileIconsOverlay64.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%WINDIR%\SysWOW64\5197\DlpOutFileIconsOverlay64.dll"
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\SysWOW64\5197\DlpOutFileIconsOverlay64.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s /u "%WINDIR%\SysWOW64\5197\DlpOutFileIconsOverlay.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%WINDIR%\SysWOW64\5197\DlpOutFileIconsOverlay.dll"
- '%WINDIR%\explorer.exe'
