Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\1.tmp\devcon.exe' install vusbbus.inf root\vusbbus
- '%TEMP%\1.tmp\devcon.exe' remove root\vusbbus
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' newdev.dll,ClientSideInstall \\.\pipe\PNP_Device_Install_Pipe_0.{CC051006-E0B4-47E6-91EE-E5336E7870CA}
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\selfdel0.bat" "
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\batchfile.bat" "
- '%WINDIR%\regedit.exe' /s 67F6pfc2d400wan.reg
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\inf\oem3.PNF
- %WINDIR%\inf\oem3.inf
- <DRIVERS>\SET4.tmp
- %TEMP%\selfdel0.bat
- %WINDIR%\inf\INFCACHE.0
- %TEMP%\1.tmp\devcon.exe
- %TEMP%\1.tmp\vusbbus.cat
- %TEMP%\1.tmp\batchfile.bat
- %TEMP%\1.tmp\vusbbus.inf
- %TEMP%\1.tmp\67F6pfc2d400wan.reg
- %TEMP%\1.tmp\VUsbBus.sys
Удаляет следующие файлы:
- %TEMP%\1.tmp\VUsbBus.sys
- %TEMP%\1.tmp\67F6pfc2d400wan.reg
- %TEMP%\1.tmp\devcon.exe
- %TEMP%\1.tmp\batchfile.bat
- %TEMP%\1.tmp\vusbbus.cat
- %TEMP%\1.tmp\vusbbus.inf
Перемещает следующие системные файлы:
- %WINDIR%\inf\INFCACHE.2 в %WINDIR%\inf\OLDCACHE.000
- %WINDIR%\inf\INFCACHE.1 в %WINDIR%\inf\INFCACHE.2
Перемещает следующие файлы:
- <DRIVERS>\SET4.tmp в <DRIVERS>\vusbbus.sys
Самоудаляется.
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
