Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\defensewall.exe' startinstall
- '%TEMP%\7zS1.tmp\setup.exe'
- '%TEMP%\7zS1.tmp\hidcon.exe' installer.cmd
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +r %WINDIR%\system\ver.dll
- '<SYSTEM32>\attrib.exe' -h -s -r -a installer.cmd
- '<SYSTEM32>\cmd.exe' /c installer.cmd
- '<SYSTEM32>\attrib.exe' -r %WINDIR%\system\*.bak
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\dwall_lnk.dll
- %TEMP%\RarSFX0\dwall_mc.dll
- %TEMP%\RarSFX0\dwall_mrk.dll
- %TEMP%\RarSFX0\dwall_ext.dll
- %TEMP%\RarSFX0\dwall.dll
- %TEMP%\RarSFX0\dwall_com.dll
- %TEMP%\RarSFX0\dwall_excel.dll
- %TEMP%\RarSFX0\dwall_wamp.dll
- %TEMP%\RarSFX0\dwall.sys
- %TEMP%\RarSFX0\hips_only.reg
- %TEMP%\RarSFX0\dwall_skin.dll
- %TEMP%\RarSFX0\dwall_res.dll
- %TEMP%\RarSFX0\dwall_service.dll
- %TEMP%\RarSFX0\dwall_shell.dll
- %TEMP%\RarSFX0\uninstall.exe
- %TEMP%\RarSFX0\defensewall_inbound_profiles.txt
- %TEMP%\RarSFX0\defensewall_initialization.txt
- %TEMP%\RarSFX0\defensewall_trusted_modules.txt
- %TEMP%\RarSFX0\defensewall_inbound_excludes.txt
- %TEMP%\7zS1.tmp\installer.cmd
- %TEMP%\7zS1.tmp\hidcon.exe
- %TEMP%\7zS1.tmp\setup.exe
- %TEMP%\RarSFX0\defensewall.exe
- %TEMP%\RarSFX0\defensewall_serv.exe
- %TEMP%\RarSFX0\dw_browser.exe
- %TEMP%\RarSFX0\license.txt
- %TEMP%\RarSFX0\defensewall_updaters_whitelist.txt
- %TEMP%\RarSFX0\defensewall_whitelist.txt
- %TEMP%\RarSFX0\defensewall_whitelist_extended.txt
Перемещает следующие системные файлы:
- %WINDIR%\system\VER.DLL в %WINDIR%\system\VER.DLL.bak
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
