Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\7-Zip\7z.exe' a -tzip \Documents and Settings\%USERNAME%\report.zip %TEMP%\Report-Tue 04/22/2014\
- '%TEMP%\RarSFX0\aida64.exe' /R %TEMP%\Report-Tue 04/22/2014\$hostname\$date /CUSTOM everesthwi.rpf /TEXT
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\run.bat" "
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKLM>\Software\Microsoft\MSNMessenger]
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\aida_mondiag.dll
- %TEMP%\RarSFX0\aida_rcc.dll
- %TEMP%\RarSFX0\aida_lglcd3.dll
- %TEMP%\RarSFX0\aida_iconsxp.dll
- %TEMP%\RarSFX0\aida_lglcd.dll
- %TEMP%\RarSFX0\aida_rcs.dll
- %TEMP%\RarSFX0\libeay32.dll
- %TEMP%\RarSFX0\ssleay32.dll
- %TEMP%\RarSFX0\aida_zipdll.dll
- %TEMP%\RarSFX0\aida_uires.dll
- %TEMP%\RarSFX0\aida_update.dll
- %TEMP%\RarSFX0\aida_icons7.dll
- %TEMP%\RarSFX0\7-Zip\7-zip.dll
- %TEMP%\RarSFX0\7-Zip\7z.dll
- %TEMP%\RarSFX0\aida64.exe
- %TEMP%\RarSFX0\7-Zip\7zFM.exe
- %TEMP%\RarSFX0\7-Zip\7zG.exe
- %TEMP%\RarSFX0\aida_bench32.dll
- %TEMP%\RarSFX0\aida_helper64.dll
- %TEMP%\RarSFX0\aida_icons2k.dll
- %TEMP%\RarSFX0\aida_diskbench.dll
- %TEMP%\RarSFX0\aida_bench64.dll
- %TEMP%\RarSFX0\aida_cpuid.dll
- %TEMP%\RarSFX0\aida_cpl.cpl
- %TEMP%\RarSFX0\kerneld.w9x
- %TEMP%\RarSFX0\aida64.web
- %TEMP%\RarSFX0\aida_vsb.vsb
- %TEMP%\RarSFX0\SQL_Schema\DB - SQL Server.sql
- %TEMP%\RarSFX0\SQL_Schema\DB - Sybase.sql
- %TEMP%\RarSFX0\kerneld.x32
- %TEMP%\Report-Tue.txt
- C:\Documents.zip
- %TEMP%\RarSFX0\aida64.chm
- %TEMP%\RarSFX0\kerneld.x64
- %TEMP%\RarSFX0\7-Zip\7-zip.chm
- %TEMP%\RarSFX0\SQL_Schema\DB - PostgreSQL.sql
- %TEMP%\RarSFX0\SQL_Schema\DB - Access97.mdb
- %TEMP%\RarSFX0\aida64.mem
- %TEMP%\RarSFX0\SQL_Schema\DB - Access.mdb
- %TEMP%\RarSFX0\aida64.dat
- %TEMP%\RarSFX0\kerneld.ia64
- %TEMP%\RarSFX0\everesthwi.rpf
- %TEMP%\RarSFX0\SQL_Schema\DB - MySQL.sql
- %TEMP%\RarSFX0\SQL_Schema\DB - Oracle.sql
- %TEMP%\RarSFX0\SQL_Schema\DB - InterBase.sql
- %TEMP%\RarSFX0\7-Zip\7z.sfx
- %TEMP%\RarSFX0\7-Zip\7zCon.sfx
- %TEMP%\RarSFX0\Language\lang_fi.txt
- %TEMP%\RarSFX0\Language\lang_fr.txt
- %TEMP%\RarSFX0\Language\lang_es.txt
- %TEMP%\RarSFX0\Language\lang_dk.txt
- %TEMP%\RarSFX0\Language\lang_ee.txt
- %TEMP%\RarSFX0\Language\lang_hr.txt
- %TEMP%\RarSFX0\Language\lang_jp.txt
- %TEMP%\RarSFX0\Language\lang_kr.txt
- %TEMP%\RarSFX0\Language\lang_it.txt
- %TEMP%\RarSFX0\Language\lang_hu.txt
- %TEMP%\RarSFX0\Language\lang_id.txt
- %TEMP%\RarSFX0\Language\lang_de.txt
- %TEMP%\RarSFX0\Language\lang_aa.txt
- %TEMP%\RarSFX0\Language\lang_al.txt
- %TEMP%\RarSFX0\7-Zip\History.txt
- %TEMP%\RarSFX0\7-Zip\descript.ion
- %TEMP%\RarSFX0\7-Zip\readme.txt
- %TEMP%\RarSFX0\Language\lang_bg.txt
- %TEMP%\RarSFX0\Language\lang_cn.txt
- %TEMP%\RarSFX0\Language\lang_cz.txt
- %TEMP%\RarSFX0\Language\lang_ca.txt
- %TEMP%\RarSFX0\Language\lang_bs.txt
- %TEMP%\RarSFX0\Language\lang_by.txt
- %TEMP%\RarSFX0\Language\lang_lt.txt
- %TEMP%\RarSFX0\Language\lang_ua.txt
- %TEMP%\RarSFX0\7-Zip\License.txt
- %TEMP%\RarSFX0\Language\lang_tw.txt
- %TEMP%\RarSFX0\Language\lang_srl.txt
- %TEMP%\RarSFX0\Language\lang_tr.txt
- %TEMP%\RarSFX0\license.txt
- %TEMP%\RarSFX0\run.bat
- %TEMP%\RarSFX0\7-Zip\7z.exe
- %TEMP%\RarSFX0\1_run.bat
- %TEMP%\RarSFX0\pkey.txt
- %TEMP%\RarSFX0\aida64.ini
- %TEMP%\RarSFX0\Language\lang_src.txt
- %TEMP%\RarSFX0\Language\lang_no.txt
- %TEMP%\RarSFX0\Language\lang_pl.txt
- %TEMP%\RarSFX0\Language\lang_nl.txt
- %TEMP%\RarSFX0\Language\lang_lv.txt
- %TEMP%\RarSFX0\Language\lang_mk.txt
- %TEMP%\RarSFX0\Language\lang_pt.txt
- %TEMP%\RarSFX0\Language\lang_si.txt
- %TEMP%\RarSFX0\Language\lang_sk.txt
- %TEMP%\RarSFX0\Language\lang_se.txt
- %TEMP%\RarSFX0\Language\lang_ro.txt
- %TEMP%\RarSFX0\Language\lang_ru.txt
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
