Техническая информация
Для обеспечения автозапуска и распространения:
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\msvcr100.dll
- <SYSTEM32>\msvcr100d.dll
- <SYSTEM32>\msvcp100d.dll
- <SYSTEM32>\mfc100d.dll
- <SYSTEM32>\msvcp100.dll
Заражает следующие исполняемые файлы:
- <SYSTEM32>\msvcr100.dll
- <SYSTEM32>\msvcr100d.dll
- <SYSTEM32>\msvcp100d.dll
- <SYSTEM32>\mfc100d.dll
- <SYSTEM32>\msvcp100.dll
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\temp\SERVICENAMEEXIST.EXE' bbtest_gateway
- 'C:\temp\Shortcut.exe' /F:"%HOMEPATH%\Desktop\TEST TW BAP.LNK" /A:C /W:"%PROGRAM_FILES%\tw_bap_test" /T:"%PROGRAM_FILES%\tw_bap_test\tw32.exe" /P:"/n"
Запускает на исполнение:
- '<SYSTEM32>\xcopy.exe' c:\temp\msvcrtd.dll <SYSTEM32> /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\tsmr.dll <SYSTEM32> /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\tsmr.msg <SYSTEM32> /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\msvcp100d.dll <SYSTEM32> /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\msvcr100.dll <SYSTEM32> /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\msvcr100d.dll <SYSTEM32> /R /Y
- '<SYSTEM32>\ie4uinit.exe' -ClearIconCache
- '<SYSTEM32>\rundll32.exe' advpack.dll,LaunchINFSectionEx <SYSTEM32>\ieuinit.inf,Install,,260
- '<SYSTEM32>\shmgrate.exe' OCInstallUserConfigIE
- '<SYSTEM32>\xcopy.exe' c:\temp\syssrv.dll <SYSTEM32> /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\scrrun.dll <SYSTEM32> /R /Y
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\scrrun.dll
- '<SYSTEM32>\xcopy.exe' c:\temp\twres32.dll "%PROGRAM_FILES%\tw_bap_test" /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\bapapirx.exe "%PROGRAM_FILES%\tw_bap_test" /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\bapapitx.exe "%PROGRAM_FILES%\tw_bap_test" /R /Y
- '<SYSTEM32>\cmd.exe' /c ""c:\temp\bb_install.bat" "
- '<SYSTEM32>\xcopy.exe' c:\temp\tw32.exe "%PROGRAM_FILES%\tw_bap_test" /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\twcore.dll "%PROGRAM_FILES%\tw_bap_test" /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\mfc100.dll "%PROGRAM_FILES%\tw_bap_test" /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\mfc100d.dll <SYSTEM32> /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\msvcp100.dll <SYSTEM32> /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\tsmr.dll "%PROGRAM_FILES%\tw_bap_test" /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\tsmr.msg "%PROGRAM_FILES%\tw_bap_test" /R /Y
- '<SYSTEM32>\xcopy.exe' c:\temp\syssrv.dll "%PROGRAM_FILES%\tw_bap_test" /R /Y
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\tw_bap_test\BAPAPITX.exe
- %PROGRAM_FILES%\tw_bap_test\BAPAPIRX.exe
- %PROGRAM_FILES%\tw_bap_test\TSMR.DLL
- %PROGRAM_FILES%\tw_bap_test\SYSSRV.DLL
- %PROGRAM_FILES%\tw_bap_test\TSMR.MSG
- C:\temp\bb_install.bat
- C:\temp\BAPAPITX.exe
- %PROGRAM_FILES%\tw_bap_test\tw32.exe
- %PROGRAM_FILES%\tw_bap_test\twres32.dll
- %PROGRAM_FILES%\tw_bap_test\twcore.dll
- %PROGRAM_FILES%\tw_bap_test\mfc100.dll
- %PROGRAM_FILES%\tw_bap_test\tw32.ini
- C:\temp\servicestmp
- <SYSTEM32>\INF1.tmp
- <SYSTEM32>\INF3.tmp
- <SYSTEM32>\INF2.tmp
- <SYSTEM32>\TSMR.DLL
- <SYSTEM32>\MSVCRTD.DLL
- <SYSTEM32>\TSMR.MSG
- %HOMEPATH%\Desktop\TEST TW BAP.LNK
- <SYSTEM32>\SYSSRV.DLL
- C:\temp\msvcr100.dll
- C:\temp\msvcp100d.dll
- C:\temp\msvcr100d.dll
- C:\temp\scrrun.dll
- C:\temp\MSVCRTD.DLL
- C:\temp\INICOPY.EXE
- C:\temp\EXCLUDER.EXE
- C:\temp\mfc100.dll
- C:\temp\msvcp100.dll
- C:\temp\mfc100d.dll
- C:\temp\servadd
- C:\temp\TW32.INI
- C:\temp\tw32.exe
- C:\temp\twcore.dll
- C:\temp\BAPAPIRX.exe
- C:\temp\twres32.dll
- C:\temp\Shortcut.exe
- C:\temp\SERVICENAMEEXIST.EXE
- C:\temp\SYSSRV.DLL
- C:\temp\TSMR.MSG
- C:\temp\TSMR.DLL
Удаляет следующие файлы:
- <SYSTEM32>\INF3.tmp
- <SYSTEM32>\INF1.tmp
- <SYSTEM32>\INF2.tmp
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
