Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\xslfile\shell\Open\command] '' = ''
- [<HKLM>\SOFTWARE\Classes\xmlfile\shell\Open\command] '' = ''
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe /s TDAtOnce.dll
- <SYSTEM32>\regsvr32.exe /s LinkSimulate.dll
- <SYSTEM32>\regsvr32.exe /s msxml3.dll
- <SYSTEM32>\regsvr32.exe /s ThunderAgent.dll
- <SYSTEM32>\regsvr32.exe /s XunLeiBHO.dll
- <SYSTEM32>\regsvr32.exe /s UserAgent.dll
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RGIC.tmp
- %TEMP%\RGID.tmp
- %TEMP%\RGIA.tmp
- %TEMP%\RGIB.tmp
- %TEMP%\RGI10.tmp
- %TEMP%\RGI11.tmp
- %TEMP%\RGIE.tmp
- %TEMP%\RGIF.tmp
- %TEMP%\RGI9.tmp
- %TEMP%\RGI3.tmp
- %TEMP%\RGI4.tmp
- %TEMP%\~1.bat
- %TEMP%\RGI2.tmp
- %TEMP%\RGI7.tmp
- %TEMP%\RGI8.tmp
- %TEMP%\RGI5.tmp
- %TEMP%\RGI6.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\~1.bat
Удаляет следующие файлы:
- %TEMP%\RGID.tmp
- %TEMP%\RGIE.tmp
- %TEMP%\RGIB.tmp
- %TEMP%\RGIC.tmp
- %TEMP%\RGI11.tmp
- %TEMP%\~1.bat
- %TEMP%\RGIF.tmp
- %TEMP%\RGI10.tmp
- %TEMP%\RGIA.tmp
- %TEMP%\RGI4.tmp
- %TEMP%\RGI5.tmp
- %TEMP%\RGI2.tmp
- %TEMP%\RGI3.tmp
- %TEMP%\RGI8.tmp
- %TEMP%\RGI9.tmp
- %TEMP%\RGI6.tmp
- %TEMP%\RGI7.tmp
