Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\shamela.book\shell\Open\command] '' = '<Текущая директория>\bin\viewer.exe %1'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\stdole2.tlb файлом <SYSTEM32>\dllcache\stdole2.tlb.new
- <SYSTEM32>\stdole2.tlb файлом <SYSTEM32>\stdole2.tlb
Заражает следующие исполняемые файлы:
- <SYSTEM32>\dllcache\stdole2.tlb.new
- <SYSTEM32>\stdole2.tlb
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\bin\shamela.exe'
- '<Текущая директория>\bin\shamela.exe' 1
- '<Текущая директория>\setup.exe'
- '%TEMP%\irsetup.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\irsetup.dat
- %TEMP%\suf6lng.9
- <Текущая директория>\إعدادات اللغة.pdf
- %TEMP%\irsetup.exe
- <SYSTEM32>\vb5db.dll
- <SYSTEM32>\vbar332.dll
- %TEMP%\irsetup.ini
- <SYSTEM32>\richtx32.ocx
- <Текущая директория>\إعدادات اللغة.doc
- <Текущая директория>\files\quran.txt
- <Текущая директория>\تنبيه.txt
- <Текущая директория>\bin\shamela.exe
- <Текущая директория>\bin\riched20
- <Текущая директория>\bin\fldrvw61.ocx
- <Текущая директория>\bin\shcmb61.ocx
- <Текущая директория>\setup.exe
- <Текущая директория>\bin\filevw61.ocx
- <SYSTEM32>\filevw61.ocx
- <SYSTEM32>\fldrvw61.ocx
- <SYSTEM32>\msrepl35.dll
- <SYSTEM32>\shcmb61.ocx
- <SYSTEM32>\vbame.dll
- <SYSTEM32>\vba332me.dll
- %HOMEPATH%\Desktop\ЗбгЯКИЙ ЗбФЗгбЙ.lnk
- %ALLUSERSPROFILE%\Desktop\ЗбгЯКИЙ ЗбФЗгбЙ.lnk
- <SYSTEM32>\msrd2x35.dll
- %CommonProgramFiles%\Microsoft Shared\DAO\dao350.dll
- <SYSTEM32>\msflxgrd.ocx
- <SYSTEM32>\aresize.ocx
- <SYSTEM32>\comctl32.ocx
- <SYSTEM32>\msjint35.dll
- <SYSTEM32>\msjter35.dll
- <SYSTEM32>\msinet.ocx
- <SYSTEM32>\msjet35.dll
- <Текущая директория>\bin\msrepl35.dll
- <Текущая директория>\bin\msvbvm60.dll
- <Текущая директория>\bin\msjter35.dll
- <Текущая директория>\bin\msrd2x35.dll
- <Текущая директория>\bin\oleaut32.dll
- <Текущая директория>\bin\olepro32.dll
- <Текущая директория>\bin\msvcrt.dll
- <Текущая директория>\bin\msvcrt40.dll
- <Текущая директория>\bin\msjint35.dll
- <Текущая директория>\bin\viewer.exe
- <Текущая директория>\bin\asycfilt.dll
- <Текущая директория>\autorun.inf
- <Текущая директория>\_shamela.exe
- <Текущая директория>\bin\expsrv.dll
- <Текущая директория>\bin\msjet35.dll
- <Текущая директория>\bin\comcat.dll
- <Текущая директория>\bin\dao350.dll
- <Текущая директория>\bin\richtx32.ocx
- <Текущая директория>\bin\stdole2.tlb
- <Текущая директория>\bin\comctl32.ocx
- <Текущая директория>\bin\msflxgrd.ocx
- <Текущая директория>\bin\feed
- <Текущая директория>\bin\bas
- <Текущая директория>\bin\riched32
- <Текущая директория>\bin\msinet.ocx
- <Текущая директория>\bin\aresize.ocx
- <Текущая директория>\bin\vbajet32.dll
- <Текущая директория>\bin\vbar332.dll
- <Текущая директория>\bin\unzip32.dll
- <Текущая директория>\bin\vb5db.dll
- <Текущая директория>\bin\vbscript
- <Текущая директория>\bin\help.chm
- <Текущая директория>\bin\vba332me
- <Текущая директория>\bin\vbame
Удаляет следующие файлы:
- %TEMP%\irsetup.ini
- %TEMP%\irsetup.dat
- <SYSTEM32>\stdole2.tlb
- %TEMP%\suf6lng.9
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'GINA Logon'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
