Техническая информация
Для обеспечения автозапуска и распространения:
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\mshtml.tlb
- <SYSTEM32>\stdole2.tlb
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\stdole2.tlb файлом <SYSTEM32>\dllcache\stdole2.tlb.new
- <SYSTEM32>\stdole2.tlb файлом <SYSTEM32>\stdole2.tlb.new
Заражает следующие исполняемые файлы:
- <SYSTEM32>\dllcache\stdole2.tlb.new
- <SYSTEM32>\mshtml.tlb
- <SYSTEM32>\stdole2.tlb
- <SYSTEM32>\stdole2.tlb.new
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\install.aws'
- '%TEMP%\RarSFX0\start.exe'
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' stop Online Protection System
- '<SYSTEM32>\net1.exe' stop ScanWscS
- '<SYSTEM32>\net1.exe' stop quhlpsvc
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\acmefw.ocx
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\msvbvm60.dll
- '<SYSTEM32>\net1.exe' stop Core Mail Protection
- '<SYSTEM32>\net.exe' stop quhlpsvc
- '<SYSTEM32>\taskkill.exe' /f /im onlinent.exe
- '<SYSTEM32>\net1.exe' stop Core Scanning ServerEx
- '<SYSTEM32>\net1.exe' stop Core Scanning Server
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\wbemdisp.tlb
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\msado20.tlb
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\vbscript.dll
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\schdrlst.tlb
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\mshtml.tlb
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\VB6.OLB
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\stdole2.tlb
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\scrrun.dll
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\MSINET.Ocx
- '<SYSTEM32>\regsvr32.exe' /s /s /s <SYSTEM32>\MSCOMCTL.OCX
- '<SYSTEM32>\taskkill.exe' /f /im npav4.exe
- '<SYSTEM32>\net1.exe' stop NPVProt
- '<SYSTEM32>\net1.exe' stop ApConSvc
- '<SYSTEM32>\net1.exe' stop ZeroVProtect
- '<SYSTEM32>\taskkill.exe' /f /im emailscn.exe
- '<SYSTEM32>\net.exe' stop ApConSvc
- '<SYSTEM32>\net.exe' stop NPVProt
- '<SYSTEM32>\net.exe' stop ZeroVProtect
- '<SYSTEM32>\taskkill.exe' /f /im npprot.exe
- '<SYSTEM32>\net.exe' stop Zero VProtect
- '<SYSTEM32>\net.exe' stop Core Scanning ServerEx
- '<SYSTEM32>\net.exe' stop Core Scanning Server
- '<SYSTEM32>\net.exe' stop ScanWscS
- '<SYSTEM32>\net1.exe' stop Behavior Detection System
- '<SYSTEM32>\net.exe' stop Online Protection System
- '<SYSTEM32>\net1.exe' stop Zero VProtect
- '<SYSTEM32>\taskkill.exe' /f /im zvregmon.exe
- '<SYSTEM32>\taskkill.exe' /f /im zvmonnt.exe
- '<SYSTEM32>\net.exe' stop Core Mail Protection
- '<SYSTEM32>\net.exe' stop Behavior Detection System
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\34.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\35.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\36.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\31.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\32.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\33.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\4.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\40.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\41.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\37.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\38.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\39.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\23.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\24.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\25.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\20.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\21.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\22.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\29.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\3.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\30.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\26.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\27.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\28.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\42.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\vertical-back.jpg
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\vertical-front.jpg
- <SYSTEM32>\acmefw.ocx
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\9.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\back.jpg
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\front.jpg
- <SYSTEM32>\msado20.tlb
- <SYSTEM32>\wbemdisp.tlb
- <SYSTEM32>\schdrlst.tlb
- <SYSTEM32>\VB6.OLB
- <SYSTEM32>\MSCOMCTL.OCX
- <SYSTEM32>\MSINET.Ocx
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\46.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\47.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\48.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\43.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\44.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\45.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\6.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\7.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\8.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\49.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\5.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\50.jpg
- %TEMP%\RarSFX0\prjdata\pre\vbscript.dll
- %TEMP%\RarSFX0\prjdata\appdir\u.bin
- %TEMP%\RarSFX0\install.aws
- %TEMP%\RarSFX0\prjdata\later\ocnetptr.dll
- %TEMP%\RarSFX0\prjdata\appdir\QuickEffect.dll
- %TEMP%\RarSFX0\prjdata\pre\scrrun.dll
- %TEMP%\RarSFX0\prjdata\later\hh2ctrl.ocx
- %TEMP%\RarSFX0\prjdata\pre\mscomctl.ocx
- %TEMP%\RarSFX0\prjdata\pre\msinet.ocx
- %TEMP%\RarSFX0\metadata.dat
- %TEMP%\RarSFX0\prjdata\pre\acmefw.ocx
- %TEMP%\RarSFX0\prjdata\later\comdlg32.ocx
- %TEMP%\RarSFX0\prjdata\appdir\uninst.exe
- %TEMP%\RarSFX0\prjdata\later\abtqim32.dll
- %TEMP%\RarSFX0\prjdata\later\alckedit.dll
- %TEMP%\RarSFX0\prjdata\appdir\CropTool.exe
- %TEMP%\RarSFX0\prjdata\appdir\QuickIDMaker.exe
- %TEMP%\RarSFX0\start.exe
- %TEMP%\RarSFX0\prjdata\appdir\Gma.QrCodeNet.Encoding.dll
- %TEMP%\RarSFX0\prjdata\later\md5er32.dll
- %TEMP%\RarSFX0\prjdata\pre\msvbvm60.dll
- %TEMP%\RarSFX0\prjdata\pre\asxtract.dll
- %TEMP%\RarSFX0\prjdata\appdir\CropLib.dll
- %TEMP%\RarSFX0\prjdata\appdir\FlatButton.dll
- %TEMP%\RarSFX0\prjdata\appdir\qimvndr.ocx
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\12.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\13.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\14.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\1.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\10.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\11.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\18.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\19.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\2.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\15.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\16.JPG
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\17.JPG
- %TEMP%\RarSFX0\prjdata\pre\msado20.tlb
- %TEMP%\RarSFX0\prjdata\pre\msado25.tlb
- %TEMP%\RarSFX0\prjdata\pre\mshtml.tlb
- %TEMP%\RarSFX0\prjdata\later\rtcshare.olb
- %TEMP%\RarSFX0\prjdata\pre\vb6.olb
- %TEMP%\RarSFX0\prjdata\later\bkendcfg.tlb
- %TEMP%\RarSFX0\prjdata\pre\wbemdisp.tlb
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\canola-school.xls
- %TEMP%\RarSFX0\prjdata\cf\desktop\Quick ID Maker Sample Data\principal-signature.png
- %TEMP%\RarSFX0\prjdata\pre\schdrlst.tlb
- %TEMP%\RarSFX0\prjdata\pre\stdole2.tlb
- %TEMP%\RarSFX0\prjdata\later\tsgqckjk.tlb
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
