Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\server.exe
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\353567897c171bd39d0c54f39411\setup.exe' /web
- '%TEMP%\visual basic 2010 full edition.exe'
Запускает на исполнение:
- '<SYSTEM32>\ntvdm.exe' -f -i1
Изменения в файловой системе:
Создает следующие файлы:
- C:\353567897c171bd39d0c54f39411\BlockMSI_Text.htm
- C:\353567897c171bd39d0c54f39411\BlockWIC_Text.htm
- C:\353567897c171bd39d0c54f39411\Silverlight_EULA.htm
- C:\353567897c171bd39d0c54f39411\vs_setup.MS_
- C:\353567897c171bd39d0c54f39411\Silverlight_privacy.htm
- C:\353567897c171bd39d0c54f39411\gencomp.dll
- C:\353567897c171bd39d0c54f39411\dlmgr.dll
- C:\353567897c171bd39d0c54f39411\IA64block_text.htm
- C:\353567897c171bd39d0c54f39411\WindowsUpdate_Required_Text.htm
- C:\353567897c171bd39d0c54f39411\windowsSP_Requirements.htm
- C:\353567897c171bd39d0c54f39411\baseline.dat
- C:\353567897c171bd39d0c54f39411\$shtdwn$.req
- C:\353567897c171bd39d0c54f39411\pkconfig.xrm-ms
- %TEMP%\dd_install_vb_xcor_100.txt
- %TEMP%\dd_error_vb_xcor_100.txt
- %TEMP%\uxeventlog.txt
- C:\353567897c171bd39d0c54f39411\setup.sdb
- C:\353567897c171bd39d0c54f39411\deffactory.dat
- C:\353567897c171bd39d0c54f39411\vs_setup.pdi
- C:\353567897c171bd39d0c54f39411\pidgenx.dll
- C:\353567897c171bd39d0c54f39411\locdata.ini
- C:\353567897c171bd39d0c54f39411\vsbasereqs.dll
- C:\353567897c171bd39d0c54f39411\logo.bmp
- %WINDIR%\Temp\scs4.tmp
- C:\353567897c171bd39d0c54f39411\CustomText.1036.dll
- C:\353567897c171bd39d0c54f39411\ExpressUI.dll
- C:\353567897c171bd39d0c54f39411\License.txt
- %TEMP%\server.exe
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %WINDIR%\Temp\scs3.tmp
- %TEMP%\visual basic 2010 full edition.exe
- C:\353567897c171bd39d0c54f39411\ExpressRes.dll
- C:\353567897c171bd39d0c54f39411\vs70uimgr.dll
- C:\353567897c171bd39d0c54f39411\vs_setup.dll
- C:\353567897c171bd39d0c54f39411\DeleteTemp.exe
- C:\353567897c171bd39d0c54f39411\vsscenario.dll
- C:\353567897c171bd39d0c54f39411\setupres.dll
- C:\353567897c171bd39d0c54f39411\HtmlLite.dll
- C:\353567897c171bd39d0c54f39411\readme.htm
- C:\353567897c171bd39d0c54f39411\SITSetup.dll
- C:\353567897c171bd39d0c54f39411\sqmapi.dll
- C:\353567897c171bd39d0c54f39411\setup.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\scs3.tmp
- %WINDIR%\Temp\scs4.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-b40.b44.380001'
