Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\Flash.VideoFile\Shell\Open\Command] '' = '%TEMP%\RarSFX1\dmaster.exe -playflv "%L"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\IDAccelerator.exe'
- '%TEMP%\RarSFX1\IDAccelerator.exe'
- '%WINDIR%\Temp\IDAccelerator.exe'
- '%TEMP%\RarSFX0\IDA.exe'
Запускает на исполнение:
- '%WINDIR%\regedit.exe' /s idakey.reg
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\install.cmd" "
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Internet Download Accelerator\temp\butt_pr.bmp
- %APPDATA%\Internet Download Accelerator\temp\buttons.bmp
- %TEMP%\RarSFX1\temp\dban_id1.gif
- %APPDATA%\Internet Download Accelerator\temp\about.bmp
- %APPDATA%\Internet Download Accelerator\temp\category.bmp
- %APPDATA%\Internet Download Accelerator\temp\folder.bmp
- %APPDATA%\Internet Download Accelerator\temp\CART_IND.BMP
- %APPDATA%\Internet Download Accelerator\temp\CATCH.BMP
- %TEMP%\RarSFX1\temp\dban2.gif
- %TEMP%\RarSFX1\temp\dban3.gif
- %TEMP%\RarSFX1\temp\dban0.gif
- %TEMP%\RarSFX1\temp\dban1.gif
- %TEMP%\RarSFX1\temp\dban6.gif
- %TEMP%\RarSFX1\temp\dbans.lnk
- %TEMP%\RarSFX1\temp\dban4.gif
- %TEMP%\RarSFX1\temp\dban5.gif
- %APPDATA%\Internet Download Accelerator\temp\menu.bmp
- %APPDATA%\Internet Download Accelerator\temp\TB_BBGRN.BMP
- %APPDATA%\Internet Download Accelerator\temp\TB_BGRN.BMP
- %APPDATA%\Internet Download Accelerator\temp\Standard.cfg
- %APPDATA%\Internet Download Accelerator\temp\states.bmp
- %APPDATA%\Internet Download Accelerator\temp\tb_btnh.bmp
- %APPDATA%\Internet Download Accelerator\nodelist.xml
- %APPDATA%\Internet Download Accelerator\temp\tb_btn.bmp
- %APPDATA%\Internet Download Accelerator\temp\tb_btnd.bmp
- %APPDATA%\Internet Download Accelerator\temp\messages.bmp
- %APPDATA%\Internet Download Accelerator\temp\resume.bmp
- %APPDATA%\Internet Download Accelerator\temp\menud.bmp
- %APPDATA%\Internet Download Accelerator\temp\menuh.bmp
- %APPDATA%\Internet Download Accelerator\temp\spd_ind.bmp
- %APPDATA%\Internet Download Accelerator\temp\spd_indl.bmp
- %APPDATA%\Internet Download Accelerator\temp\skin.dll
- %APPDATA%\Internet Download Accelerator\temp\skin_dll.cfg
- %TEMP%\RarSFX1\Skins\Standard2.skn
- %TEMP%\RarSFX1\idabar.dll
- %TEMP%\RarSFX1\idabar.xpi
- %TEMP%\RarSFX1\hintf.bmp
- %TEMP%\RarSFX1\html.htm
- %TEMP%\RarSFX1\idaie.dll
- %TEMP%\RarSFX1\idaie.htm
- %TEMP%\RarSFX1\IDAccelerator.exe
- %TEMP%\RarSFX1\ida-ff.xpi
- %TEMP%\RarSFX0\IDAccelerator.exe
- %TEMP%\RarSFX0\idakey.reg
- %WINDIR%\Temp\IDAccelerator.exe
- %TEMP%\RarSFX0\IDA.exe
- %TEMP%\RarSFX1\flvplayer.swf
- %TEMP%\RarSFX1\goback.htm
- %TEMP%\RarSFX0\idakeyR.reg
- %TEMP%\RarSFX0\Install.cmd
- %TEMP%\RarSFX1\idaieall.htm
- %TEMP%\RarSFX1\unrar.dll
- %TEMP%\RarSFX1\unzip32.dll
- %TEMP%\RarSFX1\swfobject.js
- %TEMP%\RarSFX1\typeconn.cfg
- %TEMP%\RarSFX1\Plugins\advscheduler.dll
- %TEMP%\RarSFX1\Skins\Standard.skn
- %TEMP%\RarSFX1\Languages\English.lng
- %TEMP%\RarSFX1\Plugins\advscheduler.chm
- %TEMP%\RarSFX1\lvcolors.cfg
- %TEMP%\RarSFX1\nodelist.xml
- %TEMP%\RarSFX1\infoziplicense.txt
- %TEMP%\RarSFX1\license.txt
- %TEMP%\RarSFX1\playflvimg.jpg
- %TEMP%\RarSFX1\referers.txt
- %TEMP%\RarSFX1\npida.dll
- %TEMP%\RarSFX1\playflv.html
Другое:
Ищет следующие окна:
- ClassName: 'WispWindowClass' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
