Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\Flash Machine Installer\shell\open\command] '' = '"%PROGRAM_FILES%\Flash Machine\fmi.exe" "%1"'
- [<HKLM>\SOFTWARE\Classes\Applications\fmi.exe\shell\open\command] '' = '"%PROGRAM_FILES%\Flash Machine\fmi.exe" "%1"'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Создает и запускает на исполнение:
- '%APPDATA%\fmi\files\sn.exe' -R "lib\jwfbus.dll" lib\jw.snk
- '%APPDATA%\fmi\files\sn.exe' -R "lib\jwxmpp.dll" lib\jw.snk
- '%APPDATA%\fmi\files\QuickSetup.exe'
- '%PROGRAM_FILES%\Flash Machine\fmi.exe' "%TEMP%\fmi"
- '%APPDATA%\fmi\635237667182968750'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\IntelCompiler11.lib
- '<SYSTEM32>\reg.exe' import basic.reg
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnPostRedirect' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnonZoneCrossing' = '00000000'
Принудительно разрешает автозапуск со съемных носителей.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\DATAFM\logtrack.htm
- %APPDATA%\DATAFM\logtrack.rep
- %APPDATA%\DATAFM\ner.htm
- %APPDATA%\DATAFM\grp3.rep
- %APPDATA%\DATAFM\inbox.htm
- %APPDATA%\DATAFM\inbox.rep
- %APPDATA%\DATAFM\ner.rep
- %APPDATA%\DATAFM\prod.htm
- %APPDATA%\DATAFM\prod.rep
- %APPDATA%\DATAFM\prof.fdt
- %APPDATA%\DATAFM\opcode.fdt
- %APPDATA%\DATAFM\outbox.htm
- %APPDATA%\DATAFM\outbox.rep
- <SYSTEM32>\IntelCompiler11.lib
- <SYSTEM32>\tess.dll
- %APPDATA%\DATAFM\agen.htm
- %APPDATA%\Microsoft\ocr\ocrdat
- %WINDIR%\Fonts\SEGOEUI.TTF
- <SYSTEM32>\sn.exe
- %APPDATA%\DATAFM\agen.rep
- %APPDATA%\DATAFM\grp.htm
- %APPDATA%\DATAFM\grp1.rep
- %APPDATA%\DATAFM\grp2.rep
- %APPDATA%\DATAFM\datadep.htm
- %APPDATA%\DATAFM\datadep.rep
- %APPDATA%\DATAFM\graph.rep
- %PROGRAM_FILES%\Flash Machine\resource\repair.ico
- %PROGRAM_FILES%\Flash Machine\resource\setting.ico
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\6ca7d1589d2ecc243efe068bd70edd33_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %PROGRAM_FILES%\Flash Machine\resource\ib.ico
- %PROGRAM_FILES%\Flash Machine\resource\jw.ico
- %PROGRAM_FILES%\Flash Machine\resource\jwsafe.ico
- <SYSTEM32>\Microsoft\Protect\S-1-5-18\9558c923-026a-44f8-b5f2-2f97c9a42663
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\01f229113c0427120c4f24701bc4b53b_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\edada641331800889095ba5c730a933d_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %WINDIR%\assembly\tmp\QF0TUNKL\jwxmpp.dll
- <SYSTEM32>\Microsoft\Protect\S-1-5-18\Preferred
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\cec338560a57f9b5f7c8367f14401d8b_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %WINDIR%\assembly\tmp\ZSD67SH6\jwfbus.dll
- %APPDATA%\DATAFM\sumt.rep
- %APPDATA%\DATAFM\trx.htm
- %APPDATA%\DATAFM\trx.rep
- %APPDATA%\DATAFM\stk.htm
- %APPDATA%\DATAFM\stk.rep
- %APPDATA%\DATAFM\sumt.htm
- %APPDATA%\DATAFM\trx2.htm
- %PROGRAM_FILES%\Flash Machine\player.swf
- %PROGRAM_FILES%\Flash Machine\resource\autorefill.ico
- %PROGRAM_FILES%\Flash Machine\resource\device.ico
- %APPDATA%\DATAFM\trx2.rep
- %APPDATA%\DATAFM\wtrx.htm
- %APPDATA%\DATAFM\wtrx.rep
- %APPDATA%\fmi\files\SEGOEUI.TTF
- %APPDATA%\fmi\files\dat\trx2.htm
- %APPDATA%\fmi\files\dat\wtrx.htm
- %APPDATA%\fmi\files\res\jwsafe.ico
- %APPDATA%\fmi\files\dat\stk.htm
- %APPDATA%\fmi\files\dat\sumt.htm
- %APPDATA%\fmi\files\dat\trx.htm
- %APPDATA%\fmi\files\basic.reg
- %APPDATA%\fmi\files\lib\jwxmpp.dll
- %APPDATA%\fmi\files\QuickSetup.exe
- %APPDATA%\fmi\files\sn.exe
- %APPDATA%\fmi\files\ocrdat
- %APPDATA%\fmi\files\tess.dll
- %APPDATA%\fmi\files\lib\jwfbus.dll
- %TEMP%\freearc2918711975\$$arcpackedfile$$.tmp
- %APPDATA%\fmi\files\dat\opcode.fdt
- %APPDATA%\fmi\files\dat\agen.htm
- %PROGRAM_FILES%\Flash Machine\fmi.exe
- %TEMP%\fmi
- %APPDATA%\fmi\635237667182968750
- %APPDATA%\fmi\files\dat\datadep.htm
- %APPDATA%\fmi\files\dat\ner.htm
- %APPDATA%\fmi\files\dat\outbox.htm
- %APPDATA%\fmi\files\dat\prod.htm
- %APPDATA%\fmi\files\dat\grp.htm
- %APPDATA%\fmi\files\dat\inbox.htm
- %APPDATA%\fmi\files\dat\logtrack.htm
- %APPDATA%\fmi\files\dat\ner.rep
- %APPDATA%\fmi\files\dat\outbox.rep
- %APPDATA%\fmi\files\dat\prod.rep
- %APPDATA%\fmi\files\dat\grp3.rep
- %APPDATA%\fmi\files\dat\inbox.rep
- %APPDATA%\fmi\files\dat\logtrack.rep
- %APPDATA%\fmi\files\dat\stk.rep
- %APPDATA%\fmi\files\dat\wtrx.rep
- %APPDATA%\fmi\files\lib\jw.snk
- %APPDATA%\fmi\files\fm\player.swf
- %APPDATA%\fmi\files\dat\sumt.rep
- %APPDATA%\fmi\files\dat\trx.rep
- %APPDATA%\fmi\files\dat\trx2.rep
- %APPDATA%\fmi\files\res\ib.ico
- %APPDATA%\fmi\files\res\jw.ico
- %APPDATA%\fmi\files\res\repair.ico
- %APPDATA%\fmi\files\dat\prof.fdt
- %APPDATA%\fmi\files\res\autorefill.ico
- %APPDATA%\fmi\files\res\device.ico
- %APPDATA%\fmi\files\res\setting.ico
- %APPDATA%\fmi\files\dat\graph.rep
- %APPDATA%\fmi\files\dat\grp1.rep
- %APPDATA%\fmi\files\dat\grp2.rep
- %APPDATA%\fmi\files\IntelCompiler11.lib
- %APPDATA%\fmi\files\dat\agen.rep
- %APPDATA%\fmi\files\dat\datadep.rep
Удаляет следующие файлы:
- %APPDATA%\fmi\files\dat\wtrx.rep
- %APPDATA%\fmi\files\dat\wtrx.htm
- %APPDATA%\fmi\files\dat\trx2.rep
- %APPDATA%\fmi\files\fm\player.swf
- %APPDATA%\fmi\files\lib\jwfbus.dll
- %APPDATA%\fmi\files\lib\jw.snk
- %APPDATA%\fmi\files\IntelCompiler11.lib
- %APPDATA%\fmi\files\dat\sumt.htm
- %APPDATA%\fmi\files\dat\stk.rep
- %APPDATA%\fmi\files\dat\stk.htm
- %APPDATA%\fmi\files\dat\sumt.rep
- %APPDATA%\fmi\files\dat\trx2.htm
- %APPDATA%\fmi\files\dat\trx.rep
- %APPDATA%\fmi\files\dat\trx.htm
- %APPDATA%\fmi\files\res\setting.ico
- %APPDATA%\fmi\files\res\repair.ico
- %APPDATA%\fmi\files\res\jwsafe.ico
- %APPDATA%\fmi\files\SEGOEUI.TTF
- %TEMP%\fmi
- %APPDATA%\fmi\files\tess.dll
- %APPDATA%\fmi\files\sn.exe
- %APPDATA%\fmi\files\QuickSetup.exe
- %APPDATA%\fmi\files\ocrdat
- %APPDATA%\fmi\files\lib\jwxmpp.dll
- %APPDATA%\fmi\files\res\autorefill.ico
- %APPDATA%\fmi\files\res\jw.ico
- %APPDATA%\fmi\files\res\ib.ico
- %APPDATA%\fmi\files\res\device.ico
- %APPDATA%\fmi\files\dat\datadep.htm
- %APPDATA%\fmi\files\dat\agen.rep
- %APPDATA%\fmi\files\dat\agen.htm
- %APPDATA%\fmi\files\dat\datadep.rep
- %APPDATA%\fmi\files\dat\grp1.rep
- %APPDATA%\fmi\files\dat\grp.htm
- %APPDATA%\fmi\files\dat\graph.rep
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\cec338560a57f9b5f7c8367f14401d8b_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\6ca7d1589d2ecc243efe068bd70edd33_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\freearc2918711975\$$arcdatafile$$.tmp
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\01f229113c0427120c4f24701bc4b53b_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\fmi\files\basic.reg
- %APPDATA%\fmi\635237667182968750
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\edada641331800889095ba5c730a933d_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\fmi\files\dat\outbox.htm
- %APPDATA%\fmi\files\dat\opcode.fdt
- %APPDATA%\fmi\files\dat\ner.rep
- %APPDATA%\fmi\files\dat\outbox.rep
- %APPDATA%\fmi\files\dat\prof.fdt
- %APPDATA%\fmi\files\dat\prod.rep
- %APPDATA%\fmi\files\dat\prod.htm
- %APPDATA%\fmi\files\dat\inbox.htm
- %APPDATA%\fmi\files\dat\grp3.rep
- %APPDATA%\fmi\files\dat\grp2.rep
- %APPDATA%\fmi\files\dat\inbox.rep
- %APPDATA%\fmi\files\dat\ner.htm
- %APPDATA%\fmi\files\dat\logtrack.rep
- %APPDATA%\fmi\files\dat\logtrack.htm
Перемещает следующие файлы:
- %TEMP%\freearc2918711975\$$arcpackedfile$$.tmp в %TEMP%\freearc2918711975\$$arcdatafile$$.tmp
Другое:
Ищет следующие окна:
- ClassName: 'TAppBuilder' WindowName: '(null)'
- ClassName: 'TPropertyInspector' WindowName: '(null)'
- ClassName: 'TAlignPalette' WindowName: '(null)'
