Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AdobeFlashPlayer' = 'wscript "%APPDATA%\Adobe\Flash Player\PureCache\IDMan.vbs" "%APPDATA%\Adobe\Flash Player\PureCache\IDMan.bat"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\setup-retail.exe'
- '%APPDATA%\Adobe\Flash Player\FileCache\cpu.exe'
- '%APPDATA%\upc.exe' -pkd85jdiKJH483isG4739dj
- '%APPDATA%\FlashFXP44_2046_Setup.exe'
- '%TEMP%\7za.exe' x "%TEMP%\a1.7z" -aoa -o%HOMEPATH%\Local Settings\Temp -p~@S23js@@vBz99432@t9 "" ""
- '%TEMP%\mia4.tmp\FlashFXP_Setup.exe' /m="%APPDATA%\FLASHF~1.EXE" /k=""
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Adobe\Flash Player\PureCache\IDMan.vbs" "%APPDATA%\Adobe\Flash Player\PureCache\IDMan.bat"
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Adobe\Flash Player\PureCache\IDMan.bat" "
- '<SYSTEM32>\reg.exe' add HKCU\software\microsoft\windows\currentversion\run /v AdobeFlashPlayer /d "wscript \"%APPDATA%\Adobe\Flash Player\PureCache\IDMan.vbs\" \"%APPDATA%\Adobe\Flash Player\PureCache\IDMan.bat\"" /f
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Adobe\Flash Player\FileCache\check.vbs" "%APPDATA%\Adobe\Flash Player\FileCache\check.bat"
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Adobe\Flash Player\FileCache\check.bat" "
- '<SYSTEM32>\wscript.exe' "%APPDATA%\upc.vbs
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\mia1\licensecheck.dfm
- %TEMP%\mia1\maintenanceC.dfm
- %TEMP%\mia1\license.rtf
- %TEMP%\mia1\index.htm
- %TEMP%\mia1\installtypeC.dfm
- %TEMP%\mia1\readmeC.dfm
- %TEMP%\mia1\startinstallationC.dfm
- %TEMP%\mia1\readme.rtf
- %TEMP%\mia1\progressC.dfm
- %TEMP%\mia1\progrunapp.dfm
- %TEMP%\mia4.tmp\FlashFXP_Setup.res
- %TEMP%\lang.loc
- %TEMP%\mia4.tmp\data\OFFLINE\5709D76F\50F670BE\Turkish.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\12A13D37\50F670BE\Spanish.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\CFF0DC7F\50F670BE\Swedish.dlf
- %TEMP%\mia1\destinationC.dfm
- %TEMP%\mia1\finish.dfm
- %TEMP%\mia1\componentstreeC.dfm
- %TEMP%\mia1\installaware.png
- %TEMP%\mia.tmp
- %APPDATA%\upc.vbs
- %APPDATA%\Adobe\Flash Player\PureCache\IDMan.bat
- %APPDATA%\upc.exe
- %APPDATA%\Adobe\Flash Player\FileCache\cpu.exe
- %APPDATA%\Adobe\Flash Player\FileCache\nvidia.exe
- %APPDATA%\Adobe\Flash Player\PureCache\pthreadGC2.dll
- %APPDATA%\Adobe\Flash Player\PureCache\zlib1.dll
- %APPDATA%\Adobe\Flash Player\PureCache\libcurl.dll
- %APPDATA%\Adobe\Flash Player\PureCache\IDMan.exe
- %APPDATA%\Adobe\Flash Player\PureCache\IDMan.vbs
- %TEMP%\mia1\mDownExec.dll
- %TEMP%\mia1\mEXEFunc.dll
- %TEMP%\mia1\welcomeC.dfm
- %TEMP%\mia1\version.htm
- %TEMP%\mia1\versioncheck.dfm
- %APPDATA%\Adobe\Flash Player\FileCache\check.bat
- %APPDATA%\Adobe\Flash Player\FileCache\check.vbs
- %APPDATA%\Adobe\Flash Player\FileCache\ati.exe
- %TEMP%\mia1\ossAP_EXEPlug.dll
- %TEMP%\mia1\sc.exe
- %TEMP%\mia4.tmp\data\OFFLINE\8566C86F\50F670BE\Slovenian.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\ossAP_IDEPlug.dll\ossAP_EXEPlug.dll
- %TEMP%\mia4.tmp\data\OFFLINE\C0D51898\7457FE6A\ssleay32.dll
- %TEMP%\mia4.tmp\data\OFFLINE\mIDEFunc.dll\mEXEFunc.dll
- %TEMP%\mia4.tmp\data\OFFLINE\94DA0EF0\7457FE6A\libeay32.dll
- %TEMP%\mia4.tmp\data\OFFLINE\mDown.dll\mDownExec.dll
- %TEMP%\mia4.tmp\data\OFFLINE\A87BF78F\50F670BE\Bulgarian.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\BAEFB561\50F670BE\Catalan.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\F21592B6\50F670BE\Arabic.dlf
- %TEMP%\mia4.tmp\mia.lib
- %TEMP%\mia4.tmp\data\OFFLINE\438741EF\7457FE6A\Sites.dat
- %APPDATA%\FlashFXP44_2046_Setup.exe
- %TEMP%\nsb3.tmp\ExecDos.dll
- %TEMP%\a1.7z
- %TEMP%\nsr2.tmp
- %TEMP%\7za.exe
- %TEMP%\mia4.tmp\FlashFXP_Setup.exe
- %TEMP%\mia4.tmp\data\OFFLINE\D535A806\7457FE6A\IEFlash.dll
- %TEMP%\setup-retail.exe
- %TEMP%\mia4.tmp\data\OFFLINE\24305797\7457FE6A\flashfxp.chm
- %TEMP%\mia4.tmp\data\OFFLINE\5460B22C\7457FE6A\FlashFXP.exe
- %TEMP%\mia4.tmp\data\OFFLINE\B5B56487\50F670BE\Norwegian.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\E1516CE3\50F670BE\Polish.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\3CA4738B\50F670BE\Korean.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\8D81FCB4\50F670BE\Italian.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\97325EC0\50F670BE\Japanese.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\4B5A13F6\50F670BE\Russian.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\A8A9CC6E\50F670BE\Slovak.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\88F2B035\50F670BE\Romanian.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\4D058980\50F670BE\Portuguese-Brazil.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\57418173\50F670BE\Portuguese-European.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\D028E520\50F670BE\Danish.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\C8420F1F\50F670BE\Dutch.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\DA95CB51\50F670BE\Czech.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\E17CE36F\50F670BE\Chinese Simplified.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\5B1F503B\50F670BE\Chinese Traditional.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\8CDA3C79\50F670BE\German.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\E0A2EDD4\50F670BE\Hungarian.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\1F085DA3\50F670BE\French.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\A7551D39\50F670BE\Estonian.dlf
- %TEMP%\mia4.tmp\data\OFFLINE\AD105E52\50F670BE\Finnish.dlf
Удаляет следующие файлы:
- %TEMP%\nsb3.tmp\ExecDos.dll
- %TEMP%\mia.tmp
- %TEMP%\lang.loc
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'TApplication' WindowName: 'FlashFXP_Setup'
