Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'XviD updater' = '%APPDATA%\web\xvid.vbs'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\web\svchost.exe' 127.0.0.1 -n 60
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%APPDATA%\web\xvid.vbs"
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\web\xvid.bat" "
- '<SYSTEM32>\find.exe' /V /N "" "personal.dat"
- '<SYSTEM32>\reg.exe' add "hkcu\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "XviD updater" /d "%APPDATA%\web\xvid.vbs" /f
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\xvid.bat" "
- '<SYSTEM32>\chcp.com' 1251
- '<SYSTEM32>\chcp.com' 866
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\web\log.dat
- %APPDATA%\web\personal.dat
- %APPDATA%\web\xvid.vbs
- %APPDATA%\web\svchost.exe
- %APPDATA%\web\prev.dat
- %APPDATA%\web\settings.dat
- %TEMP%\RarSFX0\xvid.bat
- %TEMP%\RarSFX0\zlib1.dll
- %TEMP%\RarSFX0\pthreadGC2.dll
- %APPDATA%\web\zlib1.dll
- %APPDATA%\web\pthreadGC2.dll
- %APPDATA%\web\xvid.bat
Удаляет следующие файлы:
- %TEMP%\RarSFX0\zlib1.dll
- %TEMP%\RarSFX0\xvid.bat
- %TEMP%\RarSFX0\pthreadGC2.dll
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
