Техническая информация
Для обеспечения автозапуска и распространения:
Подменяет следующие исполняемые системные файлы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\ngen.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\ngen.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\MSBuild.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\MSBuild.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe
- <Текущая директория>\bad127 файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe
- <Текущая директория>\bad107 файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\Microsoft.Workflow.Compiler.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\DataSvcUtil.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\DataSvcUtil.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe
- <Текущая директория>\bad138 файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\ilasm.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\ilasm.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\EdmGen.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\EdmGen.exe
- <Текущая директория>\bad74 файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\EdmGen.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\regtlibv12.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\regtlibv12.exe
- <Текущая директория>\bad9 файлом <Служебный элемент>
- <Текущая директория>\bad34 файлом <Служебный элемент>
- <SYSTEM32>\vmicsvc.exe файлом <SYSTEM32>\vmicsvc.exe
- <Текущая директория>\bad165 файлом <Служебный элемент>
- <Текущая директория>\bad12 файлом <Служебный элемент>
- <Текущая директория>\bad114 файлом <Служебный элемент>
- <SYSTEM32>\sleep.exe файлом <SYSTEM32>\sleep.exe
- %WINDIR%\Microsoft.NET\NETFXRepair.exe файлом %WINDIR%\Microsoft.NET\NETFXRepair.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\vbc.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\vbc.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\SMSvcHost.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\SMSvcHost.exe
- <SYSTEM32>\MRT.exe файлом <SYSTEM32>\MRT.exe
- %WINDIR%\sleep.exe файлом %WINDIR%\sleep.exe
- %WINDIR%\sfk.exe файлом %WINDIR%\sfk.exe
- <Текущая директория>\bad107 файлом %WINDIR%\assembly\NativeImages_v2.0.50727_32\MSBuild\74a8b6419deb005337a1e43ec2502134\MSBuild.ni.exe
- %WINDIR%\assembly\NativeImages_v2.0.50727_32\mcupdate\ef1649ac80ee0bfe0eaf5b677a46bbf4\mcupdate.ni.exe файлом %WINDIR%\assembly\NativeImages_v2.0.50727_32\mcupdate\ef1649ac80ee0bfe0eaf5b677a46bbf4\mcupdate.ni.exe
- %WINDIR%\assembly\NativeImages_v2.0.50727_32\LoadMxf\22c718bcf8d41793155223e7e1afec99\LoadMxf.ni.exe файлом %WINDIR%\assembly\NativeImages_v2.0.50727_32\LoadMxf\22c718bcf8d41793155223e7e1afec99\LoadMxf.ni.exe
- %WINDIR%\assembly\NativeImages_v2.0.50727_32\WsatConfig\9d60139fdead64a892985181d663989f\WsatConfig.ni.exe файлом %WINDIR%\assembly\NativeImages_v2.0.50727_32\WsatConfig\9d60139fdead64a892985181d663989f\WsatConfig.ni.exe
- <Текущая директория>\bad18 файлом %WINDIR%\assembly\NativeImages_v2.0.50727_32\WsatConfig\9d60139fdead64a892985181d663989f\WsatConfig.ni.exe
- %WINDIR%\assembly\NativeImages_v2.0.50727_32\Narrator\c1ee01ff40acce2918c5319332bfca20\Narrator.ni.exe файлом %WINDIR%\assembly\NativeImages_v2.0.50727_32\Narrator\c1ee01ff40acce2918c5319332bfca20\Narrator.ni.exe
- %WINDIR%\assembly\NativeImages_v2.0.50727_32\ehExtHost\778542790c617b0394213b0a542e3ef2\ehExtHost.ni.exe файлом %WINDIR%\assembly\NativeImages_v2.0.50727_32\ehExtHost\778542790c617b0394213b0a542e3ef2\ehExtHost.ni.exe
- %WINDIR%\assembly\GAC_MSIL\dfsvc\2.0.0.0__b03f5f7f11d50a3a\dfsvc.exe файлом %WINDIR%\assembly\GAC_MSIL\dfsvc\2.0.0.0__b03f5f7f11d50a3a\dfsvc.exe
- %WINDIR%\assembly\GAC_MSIL\ComSvcConfig\3.0.0.0__b03f5f7f11d50a3a\ComSvcConfig.exe файлом %WINDIR%\assembly\GAC_MSIL\ComSvcConfig\3.0.0.0__b03f5f7f11d50a3a\ComSvcConfig.exe
- %WINDIR%\assembly\GAC_32\mcupdate\6.1.0.0__31bf3856ad364e35\mcupdate.exe файлом %WINDIR%\assembly\GAC_32\mcupdate\6.1.0.0__31bf3856ad364e35\mcupdate.exe
- %WINDIR%\assembly\NativeImages_v2.0.50727_32\ComSvcConfig\3912b69593af13d0922279a063e5af66\ComSvcConfig.ni.exe файлом %WINDIR%\assembly\NativeImages_v2.0.50727_32\ComSvcConfig\3912b69593af13d0922279a063e5af66\ComSvcConfig.ni.exe
- %WINDIR%\assembly\GAC_MSIL\Narrator\6.1.0.0__31bf3856ad364e35\Narrator.exe файлом %WINDIR%\assembly\GAC_MSIL\Narrator\6.1.0.0__31bf3856ad364e35\Narrator.exe
- %WINDIR%\assembly\GAC_MSIL\loadmxf\6.1.0.0__31bf3856ad364e35\loadmxf.exe файлом %WINDIR%\assembly\GAC_MSIL\loadmxf\6.1.0.0__31bf3856ad364e35\loadmxf.exe
- %WINDIR%\assembly\NativeImages_v4.0.30319_32\dfsvc\1361a05238cfe45d7da6cb4b367a986c\dfsvc.ni.exe файлом %WINDIR%\assembly\NativeImages_v4.0.30319_32\dfsvc\1361a05238cfe45d7da6cb4b367a986c\dfsvc.ni.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis.exe
- <Текущая директория>\bad118 файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_regbrowsers.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_regbrowsers.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\ComSvcConfig.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\ComSvcConfig.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_wp.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_wp.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_regsql.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_regsql.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe
- %WINDIR%\Microsoft.NET\assembly\GAC_MSIL\Microsoft.Workflow.Compiler\v4.0_4.0.0.0__31bf3856ad364e35\Microsoft.Workflow.Compiler.exe файлом %WINDIR%\Microsoft.NET\assembly\GAC_MSIL\Microsoft.Workflow.Compiler\v4.0_4.0.0.0__31bf3856ad364e35\Microsoft.Workflow.Compiler.exe
- %WINDIR%\assembly\NativeImages_v4.0.30319_32\WsatConfig\7708e8673f6a5ddc3130203686db0b5b\WsatConfig.ni.exe файлом %WINDIR%\assembly\NativeImages_v4.0.30319_32\WsatConfig\7708e8673f6a5ddc3130203686db0b5b\WsatConfig.ni.exe
- %WINDIR%\assembly\NativeImages_v4.0.30319_32\MSBuild\8ca394271c3a83e44006fd273afee7be\MSBuild.ni.exe файлом %WINDIR%\assembly\NativeImages_v4.0.30319_32\MSBuild\8ca394271c3a83e44006fd273afee7be\MSBuild.ni.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\AppLaunch.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\AppLaunch.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\AddInUtil.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\AddInUtil.exe
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe файлом %WINDIR%\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\$$336699.bat
- <Имя диска съемного носителя>:\<Имя вируса>.exe
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c E:\$$336699.bat
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\FireFox\xpt_dump.exe
- %PROGRAM_FILES%\FireFox\xpt_link.exe
- %PROGRAM_FILES%\FireFox\xpidl.exe
- %PROGRAM_FILES%\FireFox\updater.exe
- %PROGRAM_FILES%\FireFox\xpcshell.exe
- <Служебное имя>
- <PATH_<Служебное имя>.EXE>
- C:\ProgramData\Microsoft\RAC\Temp\sqlAEE4.tmp
- <Служебный элемент>
- C:\ProgramData\Microsoft\RAC\Temp\sqlAEF5.tmp
- %PROGRAM_FILES%\FireFox\firefox.exe
- %PROGRAM_FILES%\FireFox\js.exe
- %PROGRAM_FILES%\FireFox\crashreporter.exe
- C:\$Recycle.Bin\S-1-5-21-3525224950-2885160813-905547259-1000\$RNVE6DO.exe
- C:\Far2\Far.exe
- %PROGRAM_FILES%\FireFox\shlibsign.exe
- %PROGRAM_FILES%\FireFox\uninstall\helper.exe
- %PROGRAM_FILES%\FireFox\plugin-container.exe
- %PROGRAM_FILES%\FireFox\mangle.exe
- %PROGRAM_FILES%\FireFox\nsinstall.exe
Удаляет следующие файлы:
- <Текущая директория>\bad30
- <Текущая директория>\bad82
- <Текущая директория>\bad173
- <Текущая директория>\bad196
- <Текущая директория>\bad34
- <Текущая директория>\bad39
- <Текущая директория>\bad4
- <Текущая директория>\bad0
- <Текущая директория>\bad159
- <Текущая директория>\bad89
- <Текущая директория>\bad191
- <Текущая директория>\bad113
- <Текущая директория>\bad80
- <Текущая директория>\bad9
- <Текущая директория>\bad192
- <Текущая директория>\bad167
- <Текущая директория>\bad163
- <Текущая директория>\bad18
- <Текущая директория>\bad33
- <Текущая директория>\bad127
- <Текущая директория>\bad74
- <Текущая директория>\bad42
- <Имя диска съемного носителя>:\<Имя вируса>.exe
- <Текущая директория>\bad138
- <Текущая директория>\bad20
- C:\ProgramData\Microsoft\RAC\Temp\sqlAEF5.tmp
- <Текущая директория>\bad12
- <Текущая директория>\bad165
- C:\ProgramData\Microsoft\RAC\Temp\sqlAEE4.tmp
- <Текущая директория>\bad119
- <Текущая директория>\bad13
- <Текущая директория>\bad114
- <Текущая директория>\bad118
Перемещает следующие системные файлы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe в <Текущая директория>\bad30
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\MSBuild.exe в <Текущая директория>\bad82
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe в <Текущая директория>\bad173
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\ngen.exe в <Текущая директория>\bad196
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\ilasm.exe в <Текущая директория>\bad4
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_wp.exe в <Текущая директория>\bad39
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_regsql.exe в <Текущая директория>\bad118
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\DataSvcUtil.exe в <Текущая директория>\bad0
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\ComSvcConfig.exe в <Текущая директория>\bad34
- <SYSTEM32>\MRT.exe в <Текущая директория>\bad113
- %WINDIR%\sleep.exe в <Текущая директория>\bad159
- <SYSTEM32>\vmicsvc.exe в <Текущая директория>\bad191
- <SYSTEM32>\sleep.exe в <Текущая директория>\bad74
- %WINDIR%\sfk.exe в <Текущая директория>\bad89
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\SMSvcHost.exe в <Текущая директория>\bad80
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\regtlibv12.exe в <Текущая директория>\bad9
- %WINDIR%\Microsoft.NET\NETFXRepair.exe в <Текущая директория>\bad192
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\vbc.exe в <Текущая директория>\bad167
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_regbrowsers.exe в <Текущая директория>\bad163
- %WINDIR%\assembly\NativeImages_v2.0.50727_32\ehExtHost\778542790c617b0394213b0a542e3ef2\ehExtHost.ni.exe в <Текущая директория>\bad20
- %WINDIR%\assembly\NativeImages_v2.0.50727_32\ComSvcConfig\3912b69593af13d0922279a063e5af66\ComSvcConfig.ni.exe в <Текущая директория>\bad42
- %WINDIR%\assembly\NativeImages_v2.0.50727_32\mcupdate\ef1649ac80ee0bfe0eaf5b677a46bbf4\mcupdate.ni.exe в <Текущая директория>\bad33
- %WINDIR%\assembly\NativeImages_v2.0.50727_32\LoadMxf\22c718bcf8d41793155223e7e1afec99\LoadMxf.ni.exe в <Текущая директория>\bad138
- %WINDIR%\assembly\GAC_MSIL\Narrator\6.1.0.0__31bf3856ad364e35\Narrator.exe в <Текущая директория>\bad132
- %WINDIR%\assembly\GAC_MSIL\ComSvcConfig\3.0.0.0__b03f5f7f11d50a3a\ComSvcConfig.exe в <Текущая директория>\bad122
- %WINDIR%\assembly\GAC_32\mcupdate\6.1.0.0__31bf3856ad364e35\mcupdate.exe в <Текущая директория>\bad107
- %WINDIR%\assembly\GAC_MSIL\loadmxf\6.1.0.0__31bf3856ad364e35\loadmxf.exe в <Текущая директория>\bad189
- %WINDIR%\assembly\GAC_MSIL\dfsvc\2.0.0.0__b03f5f7f11d50a3a\dfsvc.exe в <Текущая директория>\bad145
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\AddInUtil.exe в <Текущая директория>\bad114
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe в <Текущая директория>\bad118
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe в <Текущая директория>\bad165
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\AppLaunch.exe в <Текущая директория>\bad12
- %WINDIR%\Microsoft.NET\assembly\GAC_MSIL\Microsoft.Workflow.Compiler\v4.0_4.0.0.0__31bf3856ad364e35\Microsoft.Workflow.Compiler.exe в <Текущая директория>\bad119
- %WINDIR%\assembly\NativeImages_v4.0.30319_32\dfsvc\1361a05238cfe45d7da6cb4b367a986c\dfsvc.ni.exe в <Текущая директория>\bad74
- %WINDIR%\assembly\NativeImages_v2.0.50727_32\Narrator\c1ee01ff40acce2918c5319332bfca20\Narrator.ni.exe в <Текущая директория>\bad18
- %WINDIR%\assembly\NativeImages_v4.0.30319_32\WsatConfig\7708e8673f6a5ddc3130203686db0b5b\WsatConfig.ni.exe в <Текущая директория>\bad13
- %WINDIR%\assembly\NativeImages_v4.0.30319_32\MSBuild\8ca394271c3a83e44006fd273afee7be\MSBuild.ni.exe в <Текущая директория>\bad127
