Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\17a3c17fb39e0ca0124d4642668cfaff\update\iesetup.exe' /ieak-full:%TEMP%\IXP000.TMP\
- '%TEMP%\IXP000.TMP\IE-REDIST.EXE' /ieak-full:%TEMP%\IXP000.TMP\
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\cmd.exe' /c %TEMP%\IXP000.TMP\IE-Setup.cmd
Изменения в файловой системе:
Создает следующие файлы:
- C:\17a3c17fb39e0ca0124d4642668cfaff\winfxdocobj.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\html.iec
- C:\17a3c17fb39e0ca0124d4642668cfaff\inetcorp.iem
- C:\17a3c17fb39e0ca0124d4642668cfaff\spupdsvc.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\msfeedssync.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\mshta.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\spuninst.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\install.ins
- C:\17a3c17fb39e0ca0124d4642668cfaff\msfeeds.mof
- C:\17a3c17fb39e0ca0124d4642668cfaff\msfeedsbs.mof
- C:\17a3c17fb39e0ca0124d4642668cfaff\webcheck.ini
- C:\17a3c17fb39e0ca0124d4642668cfaff\inetset.iem
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieuinit.inf
- C:\17a3c17fb39e0ca0124d4642668cfaff\occache.ini
- C:\17a3c17fb39e0ca0124d4642668cfaff\iexplore.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\url.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\urlmon.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\vbscript.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\sqmapi.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\shdocvw.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\shlwapi.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\spmsg.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\extexport.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\ie4uinit.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieudinit.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\xpshims.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\vgx.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\webcheck.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\wininet.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\tdc.ocx
- C:\17a3c17fb39e0ca0124d4642668cfaff\update\sqmapi.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\update\updspapi.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\update\iesetup.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\update\iecustom.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\support\normnfkc.nls
- C:\17a3c17fb39e0ca0124d4642668cfaff\support\normnfkd.nls
- C:\17a3c17fb39e0ca0124d4642668cfaff\update\ie8.cat
- C:\17a3c17fb39e0ca0124d4642668cfaff\$shtdwn$.req
- %WINDIR%\ie8_main.log
- %TEMP%\IXP000.TMP\filelist.dat
- C:\17a3c17fb39e0ca0124d4642668cfaff\update\update.ver
- C:\17a3c17fb39e0ca0124d4642668cfaff\update\update.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\update\update.inf
- C:\17a3c17fb39e0ca0124d4642668cfaff\update\eula.rtf
- C:\17a3c17fb39e0ca0124d4642668cfaff\support\normnfd.nls
- C:\17a3c17fb39e0ca0124d4642668cfaff\feeddisc.wav
- C:\17a3c17fb39e0ca0124d4642668cfaff\infobar.wav
- C:\17a3c17fb39e0ca0124d4642668cfaff\navstart.wav
- C:\17a3c17fb39e0ca0124d4642668cfaff\mshtml.tlb
- C:\17a3c17fb39e0ca0124d4642668cfaff\ie8props.propdesc
- C:\17a3c17fb39e0ca0124d4642668cfaff\icrav03.rat
- C:\17a3c17fb39e0ca0124d4642668cfaff\ticrf.rat
- C:\17a3c17fb39e0ca0124d4642668cfaff\support\xmllite.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\support\normidna.nls
- C:\17a3c17fb39e0ca0124d4642668cfaff\support\normnfc.nls
- C:\17a3c17fb39e0ca0124d4642668cfaff\support\normaliz.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\popupblk.wav
- C:\17a3c17fb39e0ca0124d4642668cfaff\support\idndl.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\support\nlsdl.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\corpol.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\dxtmsft.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\dxtrans.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\browseui.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieapfltr.dat
- C:\17a3c17fb39e0ca0124d4642668cfaff\admparse.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\advpack.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieakui.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieapfltr.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\iecompat.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieaksie.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\hmmapi.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\icardie.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieakeng.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\inetcpl.cpl
- %TEMP%\IXP000.TMP\INSTALL.INS
- %TEMP%\IXP000.TMP\iesetup.ini
- %TEMP%\IXP000.TMP\IE-REDIST.EXE
- %TEMP%\IXP000.TMP\BRANDING.CAB
- %TEMP%\IXP000.TMP\ieakcust.dll
- %TEMP%\IXP000.TMP\iedkcs32.dll
- %TEMP%\IXP000.TMP\iesetup.cif
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieeula.chm
- C:\17a3c17fb39e0ca0124d4642668cfaff\iesupp.chm
- C:\17a3c17fb39e0ca0124d4642668cfaff\iexplore.chm
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieakmmc.chm
- %TEMP%\IXP000.TMP\IE-Setup.cmd
- %TEMP%\IXP000.TMP\toolbarsetup.exe
- C:\17a3c17fb39e0ca0124d4642668cfaff\inetres.adm
- C:\17a3c17fb39e0ca0124d4642668cfaff\iedkcs32.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\msfeedsbs.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\mshtml.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\mshtmled.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\msfeeds.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\jsproxy.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\licmgr10.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\msdbg2.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\occache.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\pdm.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\pngfilt.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\mstime.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\mshtmler.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\msls31.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\msrating.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\jsprofilerui.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\iernonce.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\iertutil.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\iesetup.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieproxy.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\iedvtool.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieframe.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\iepeers.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\jsdbgui.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\jsdebuggeride.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\jsprofilercore.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\jscript.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\ieui.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\imgutil.dll
- C:\17a3c17fb39e0ca0124d4642668cfaff\inseng.dll
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
