Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '%TEMP%\dwlm.exe'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\info.txt
- %TEMP%\1l-os31t.0.vb
- %TEMP%\1l-os31t.cmdline
- %TEMP%\1l-os31t.out
- %TEMP%\vbcf085.tmp
- %TEMP%\resf086.tmp
- %TEMP%\wlidspc.exe
- %TEMP%\l50qu397.0.vb
- %TEMP%\l50qu397.cmdline
- %TEMP%\l50qu397.out
- %TEMP%\vbcf611.tmp
- %TEMP%\resf612.tmp
- %TEMP%\dwlm.exe
- %APPDATA%\wnap.exe
Удаляет следующие файлы
- %TEMP%\resf086.tmp
- %TEMP%\vbcf085.tmp
- %TEMP%\1l-os31t.cmdline
- %TEMP%\1l-os31t.0.vb
- %TEMP%\1l-os31t.out
- %TEMP%\resf612.tmp
- %TEMP%\vbcf611.tmp
- %TEMP%\l50qu397.cmdline
- %TEMP%\l50qu397.out
- %TEMP%\l50qu397.0.vb
Другое
Создает и запускает на исполнение
- '%TEMP%\wlidspc.exe' -n
- '%TEMP%\dwlm.exe' -n
- '%APPDATA%\wnap.exe'
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\1l-os31t.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF086.tmp" "%TEMP%\vbcF085.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\l50qu397.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF612.tmp" "%TEMP%\vbcF611.tmp" (со скрытым окном)
- '%TEMP%\wlidspc.exe' -n (со скрытым окном)
- '%TEMP%\dwlm.exe' -n (со скрытым окном)
- '%APPDATA%\wnap.exe' (со скрытым окном)
