Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\msvbvm60.dll файлом <SYSTEM32>\SET11.tmp
Заражает следующие исполняемые файлы:
- <SYSTEM32>\SET11.tmp
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\VBRUN60.EXE'
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 .\mscomm32.inf
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 .\mscomctl.inf
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 .\comdlg32.inf
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\setup.bat" "
- '<SYSTEM32>\grpconv.exe' -o
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 .\msvbvm60.inf
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\SETB.tmp
- %WINDIR%\Temp\OLDA.tmp
- %WINDIR%\LastGood\TMPC.tmp
- <SYSTEM32>\SETE.tmp
- %WINDIR%\Temp\OLDD.tmp
- %WINDIR%\LastGood\TMP6.tmp
- <SYSTEM32>\SET5.tmp
- %WINDIR%\Temp\OLD7.tmp
- %WINDIR%\LastGood\TMP9.tmp
- <SYSTEM32>\SET8.tmp
- %WINDIR%\LastGood\TMPF.tmp
- <SYSTEM32>\SET16.tmp
- %WINDIR%\Temp\OLD15.tmp
- <SYSTEM32>\SET17.tmp
- <SYSTEM32>\SET19.tmp
- <SYSTEM32>\SET18.tmp
- <SYSTEM32>\SET11.tmp
- %WINDIR%\Temp\OLD10.tmp
- %WINDIR%\LastGood\TMP12.tmp
- <SYSTEM32>\SET14.tmp
- %WINDIR%\Temp\OLD13.tmp
- %WINDIR%\Temp\OLD4.tmp
- %TEMP%\RarSFX0\MSVBVM60.DLL
- %TEMP%\RarSFX0\VBRUN60.EXE
- %TEMP%\RarSFX0\COMDLG32.OCX
- %TEMP%\RarSFX0\MSCOMM32.OCX
- %TEMP%\RarSFX0\MSCOMCTL.OCX
- %TEMP%\RarSFX0\COMDLG32.INF
- %TEMP%\RarSFX0\setup.bat
- %TEMP%\RarSFX0\MSCOMCTL.INF
- %TEMP%\RarSFX0\MSVBVM60.INF
- %TEMP%\RarSFX0\MSCOMM32.INF
- %TEMP%\IXP000.TMP\vbrun60.inf
- %TEMP%\IXP000.TMP\ADVPACK.DLL
- %TEMP%\IXP000.TMP\comcat.dll
- %TEMP%\IXP000.TMP\W95INF32.DLL
- %WINDIR%\LastGood\TMP3.tmp
- %TEMP%\IXP000.TMP\W95INF16.DLL
- %TEMP%\IXP000.TMP\oleaut32.dll
- %TEMP%\IXP000.TMP\asycfilt.dll
- %TEMP%\IXP000.TMP\olepro32.dll
- %TEMP%\IXP000.TMP\msvbvm60.dll
- %TEMP%\IXP000.TMP\stdole2.tlb
Удаляет следующие файлы:
- %WINDIR%\Temp\OLD15.tmp
- %TEMP%\IXP000.TMP\vbrun60.inf
- %TEMP%\RarSFX0\COMDLG32.OCX
- %TEMP%\RarSFX0\COMDLG32.INF
- %TEMP%\IXP000.TMP\olepro32.dll
- %TEMP%\IXP000.TMP\stdole2.tlb
- %TEMP%\IXP000.TMP\asycfilt.dll
- %TEMP%\IXP000.TMP\oleaut32.dll
- %TEMP%\RarSFX0\MSVBVM60.INF
- %TEMP%\RarSFX0\MSVBVM60.DLL
- %TEMP%\RarSFX0\VBRUN60.EXE
- %TEMP%\RarSFX0\setup.bat
- %TEMP%\RarSFX0\MSCOMCTL.OCX
- %TEMP%\RarSFX0\MSCOMCTL.INF
- %TEMP%\RarSFX0\MSCOMM32.OCX
- %TEMP%\RarSFX0\MSCOMM32.INF
- %TEMP%\IXP000.TMP\msvbvm60.dll
- <SYSTEM32>\SET14.tmp
- <SYSTEM32>\msvbvm60.dll
- %WINDIR%\Temp\OLD10.tmp
- %WINDIR%\Temp\OLD13.tmp
- <SYSTEM32>\SET8.tmp
- <SYSTEM32>\SET5.tmp
- <SYSTEM32>\SETE.tmp
- <SYSTEM32>\SETB.tmp
- %TEMP%\IXP000.TMP\W95INF32.DLL
- %TEMP%\IXP000.TMP\W95INF16.DLL
- %TEMP%\IXP000.TMP\comcat.dll
- %TEMP%\IXP000.TMP\ADVPACK.DLL
- %WINDIR%\Temp\OLDA.tmp
- %WINDIR%\Temp\OLDD.tmp
- %WINDIR%\Temp\OLD4.tmp
- %WINDIR%\Temp\OLD7.tmp
Перемещает следующие файлы:
- <SYSTEM32>\SET16.tmp в <SYSTEM32>\MSVBVM60.DLL
- %WINDIR%\LastGood\TMP12.tmp в %WINDIR%\LastGood\system32\COMCAT.DLL
- <SYSTEM32>\SET17.tmp в <SYSTEM32>\MSCOMM32.OCX
- <SYSTEM32>\SET19.tmp в <SYSTEM32>\COMDLG32.OCX
- <SYSTEM32>\SET18.tmp в <SYSTEM32>\MSCOMCTL.OCX
- %WINDIR%\LastGood\TMP6.tmp в %WINDIR%\LastGood\system32\OLEPRO32.DLL
- %WINDIR%\LastGood\TMP3.tmp в %WINDIR%\LastGood\system32\OLEAUT32.DLL
- %WINDIR%\LastGood\TMP9.tmp в %WINDIR%\LastGood\system32\ASYCFILT.DLL
- %WINDIR%\LastGood\TMPF.tmp в %WINDIR%\LastGood\system32\MSVBVM60.DLL
- %WINDIR%\LastGood\TMPC.tmp в %WINDIR%\LastGood\system32\STDOLE2.TLB
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
