Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\_rhc07155_5.exe'
- '%TEMP%\rhc07155_5.exe'
- '%TEMP%\5.exe'
- '%TEMP%\pgrg_setup-04.exe'
- '%TEMP%\Step 1.exe'
- '%TEMP%\7za.exe' x %TEMP%\a1.7z -aoa -o%HOMEPATH%\Local Settings\Temp -plolmilf
- '%TEMP%\RemoveWGA.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\$XNTUninstall643$\tnrfc.dll"
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\$XNTUninstall643$\uodbs.dll"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\rhc07155_5.exe
- %TEMP%\5.exe
- %TEMP%\nsh6.tmp
- %TEMP%\nsc7.tmp\System.dll
- %TEMP%\nsqC.tmp\System.dll
- %WINDIR%\$XNTUninstall643$\tnrfc.dll
- %WINDIR%\$XNTUninstall643$\uodbs.dll
- %TEMP%\nsgB.tmp
- %TEMP%\a1.7z
- %TEMP%\Step 1.exe
- %TEMP%\nsr2.tmp
- %TEMP%\7za.exe
- %TEMP%\pgrg_setup-04.exe
- %TEMP%\_rhc07155_5.exe
- %TEMP%\nso3.tmp\ExecDos.dll
- %TEMP%\RemoveWGA.exe
Удаляет следующие файлы:
- %TEMP%\nso3.tmp\ExecDos.dll
Изменяет файл HOSTS.
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
