Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv.exe -o'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\msvbvm60.dll файлом <SYSTEM32>\SET11.tmp
Заражает следующие исполняемые файлы:
- <SYSTEM32>\SET11.tmp
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Temp\Setup.exe'
- '%PROGRAM_FILES%\Temp\vbrun60sp6.exe' /Q
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\IXP000.TMP\ADVPACK.DLL
- %TEMP%\IXP000.TMP\comcat.dll
- %TEMP%\IXP000.TMP\msvbvm60.dll
- %TEMP%\IXP000.TMP\W95INF32.DLL
- %WINDIR%\Temp\OLD4.tmp
- %WINDIR%\LastGood\TMP3.tmp
- %TEMP%\IXP000.TMP\W95INF16.DLL
- %TEMP%\IXP000.TMP\stdole2.tlb
- %PROGRAM_FILES%\Temp\CestMax.exe
- %PROGRAM_FILES%\Temp\Produtos\000013.jpg
- %PROGRAM_FILES%\Temp\Produtos\000012.jpg
- %TEMP%\IXP000.TMP\vbrun60.inf
- %TEMP%\IXP000.TMP\olepro32.dll
- %TEMP%\IXP000.TMP\oleaut32.dll
- %TEMP%\IXP000.TMP\asycfilt.dll
- <SYSTEM32>\SET5.tmp
- %WINDIR%\Temp\OLD10.tmp
- %WINDIR%\LastGood\TMPF.tmp
- <SYSTEM32>\SETE.tmp
- <SYSTEM32>\SET11.tmp
- <SYSTEM32>\SET14.tmp
- %WINDIR%\Temp\OLD13.tmp
- %WINDIR%\LastGood\TMP12.tmp
- %WINDIR%\Temp\OLDD.tmp
- <SYSTEM32>\SET8.tmp
- %WINDIR%\Temp\OLD7.tmp
- %WINDIR%\LastGood\TMP6.tmp
- %WINDIR%\LastGood\TMP9.tmp
- %WINDIR%\LastGood\TMPC.tmp
- <SYSTEM32>\SETB.tmp
- %WINDIR%\Temp\OLDA.tmp
- %PROGRAM_FILES%\Temp\Produtos\000011.jpg
- %PROGRAM_FILES%\Temp\Setup.exe
- %PROGRAM_FILES%\Temp\RICHTX32.OCX
- %PROGRAM_FILES%\Temp\MSSTDFMT.DLL
- %PROGRAM_FILES%\Temp\VB6STKIT.DLL
- %PROGRAM_FILES%\Temp\VBPrnDlg.exp
- %PROGRAM_FILES%\Temp\VBPrnDlg.dll
- %PROGRAM_FILES%\Temp\VBPrnDlg.dep
- %PROGRAM_FILES%\Temp\MSMASK32.OCX
- %PROGRAM_FILES%\Temp\COMDLG32.OCX
- %PROGRAM_FILES%\Temp\COMCTL32.OCX
- %PROGRAM_FILES%\Temp\CestMax.sql
- %PROGRAM_FILES%\Temp\DesinstalaCestMax.exe
- %PROGRAM_FILES%\Temp\MSCOMCT2.OCX
- %PROGRAM_FILES%\Temp\Logo.gif
- %PROGRAM_FILES%\Temp\EnviaEmail.exe
- %PROGRAM_FILES%\Temp\VBPrnDlg.lib
- %PROGRAM_FILES%\Temp\Produtos\000006.jpg
- %PROGRAM_FILES%\Temp\Produtos\000005.jpg
- %PROGRAM_FILES%\Temp\Produtos\000004.jpg
- %PROGRAM_FILES%\Temp\Produtos\000007.jpg
- %PROGRAM_FILES%\Temp\Produtos\000010.jpg
- %PROGRAM_FILES%\Temp\Produtos\000009.jpg
- %PROGRAM_FILES%\Temp\Produtos\000008.jpg
- %PROGRAM_FILES%\Temp\Produtos\000003.jpg
- %PROGRAM_FILES%\Temp\WINPPLB.dll
- %PROGRAM_FILES%\Temp\WinPort.dll
- %PROGRAM_FILES%\Temp\vbrun60sp6.exe
- %PROGRAM_FILES%\Temp\Clientes\000001.jpg
- %PROGRAM_FILES%\Temp\Produtos\000002.jpg
- %PROGRAM_FILES%\Temp\Produtos\000001.jpg
- %PROGRAM_FILES%\Temp\Clientes\000002.jpg
Удаляет следующие файлы:
- %TEMP%\IXP000.TMP\ADVPACK.DLL
- %TEMP%\IXP000.TMP\comcat.dll
- %TEMP%\IXP000.TMP\W95INF32.DLL
- %WINDIR%\Temp\OLD4.tmp
- %TEMP%\IXP000.TMP\W95INF16.DLL
- %TEMP%\IXP000.TMP\msvbvm60.dll
- %TEMP%\IXP000.TMP\asycfilt.dll
- %TEMP%\IXP000.TMP\vbrun60.inf
- %TEMP%\IXP000.TMP\oleaut32.dll
- %TEMP%\IXP000.TMP\stdole2.tlb
- %TEMP%\IXP000.TMP\olepro32.dll
- <SYSTEM32>\SETE.tmp
- <SYSTEM32>\msvbvm60.dll
- <SYSTEM32>\SETB.tmp
- <SYSTEM32>\SET5.tmp
- <SYSTEM32>\SET8.tmp
- <SYSTEM32>\SET14.tmp
- %WINDIR%\Temp\OLDA.tmp
- %WINDIR%\Temp\OLD7.tmp
- %WINDIR%\Temp\OLDD.tmp
- %WINDIR%\Temp\OLD13.tmp
- %WINDIR%\Temp\OLD10.tmp
Перемещает следующие файлы:
- %WINDIR%\LastGood\TMPC.tmp в %WINDIR%\LastGood\system32\STDOLE2.TLB
- %WINDIR%\LastGood\TMPF.tmp в %WINDIR%\LastGood\system32\MSVBVM60.DLL
- %WINDIR%\LastGood\TMP12.tmp в %WINDIR%\LastGood\system32\COMCAT.DLL
- %WINDIR%\LastGood\TMP3.tmp в %WINDIR%\LastGood\system32\OLEAUT32.DLL
- %WINDIR%\LastGood\TMP6.tmp в %WINDIR%\LastGood\system32\OLEPRO32.DLL
- %WINDIR%\LastGood\TMP9.tmp в %WINDIR%\LastGood\system32\ASYCFILT.DLL
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
