Техническая информация
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\CAOSOFT_WEB_PRINT_lodop.ocx"
- '%TEMP%\is-6V0MV.tmp\Setup.tmp' /SL5="$100E0,5738418,56832,%TEMP%\1.tmp\Setup.exe" /sp- /silent /norestart
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\iWebOffice2009.ocx"
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\Flash.ocx"
- '%TEMP%\1.tmp\Setup.exe' /sp- /silent /norestart
- '<SYSTEM32>\net.exe' stop "wscsvc"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\2.bat" <Полный путь к вирусу>"
- '<SYSTEM32>\sc.exe' config wscsvc start= DISABLED
- '<SYSTEM32>\net1.exe' stop "wscsvc"
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\is-OD24S.tmp
- <SYSTEM32>\is-818UK.tmp
- <SYSTEM32>\is-F1IJ0.tmp
- <SYSTEM32>\is-PR825.tmp
- <SYSTEM32>\is-FRDJ8.tmp
- <SYSTEM32>\is-NKG0J.tmp
- %WINDIR%\is-3O0DD.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\ЅрЛ°ИэЖЪїН»§¶ЛїШјю°ІЧ°іМРт v1.3.2\Uninstall ЅрЛ°ИэЖЪїН»§¶ЛїШјю°ІЧ°іМРт v1.3.2.lnk
- <SYSTEM32>\is-9UTB0.tmp
- <SYSTEM32>\is-74KGM.tmp
- <SYSTEM32>\is-7JP0C.tmp
- %TEMP%\1.tmp\IE.reg
- %TEMP%\is-6V0MV.tmp\Setup.tmp
- %TEMP%\1.tmp\Setup.exe
- %TEMP%\1.tmp\2.bat
- %TEMP%\1.tmp\iWebOffice2009.ocx
- %TEMP%\is-S9TSD.tmp\_isetup\_shfoldr.dll
- %WINDIR%\is-NCIGQ.tmp
- %WINDIR%\is-10L30.tmp
- <SYSTEM32>\is-JMTEK.tmp
- %ProgramFiles%\is-DU9LU.tmp
- %WINDIR%\is-4UPTR.tmp
Удаляет следующие файлы:
- <SYSTEM32>\AppeSwx.dll
Перемещает следующие файлы:
- <SYSTEM32>\is-818UK.tmp в <SYSTEM32>\VehCertI.ocx
- <SYSTEM32>\is-OD24S.tmp в <SYSTEM32>\VehCert.ocx
- <SYSTEM32>\is-F1IJ0.tmp в <SYSTEM32>\QRmaker.lic
- <SYSTEM32>\is-NKG0J.tmp в <SYSTEM32>\VBCorLib.dll
- %WINDIR%\is-3O0DD.tmp в %WINDIR%\jshn_setTrustedSites.bat
- <SYSTEM32>\is-9UTB0.tmp в <SYSTEM32>\MSCOMM32.OCX
- <SYSTEM32>\is-74KGM.tmp в <SYSTEM32>\QRmaker.ocx
- <SYSTEM32>\is-JMTEK.tmp в <SYSTEM32>\NPCAOSOFT_WEB_PRINT_lodop.dll
- %WINDIR%\is-4UPTR.tmp в %WINDIR%\CAOSOFT_WEB_PRINT_lodop.ocx
- %ProgramFiles%\is-DU9LU.tmp в %ProgramFiles%\unins000.exe
- %WINDIR%\is-NCIGQ.tmp в %WINDIR%\Flash.ocx
- <SYSTEM32>\is-FRDJ8.tmp в <SYSTEM32>\PCOMM.DLL
- <SYSTEM32>\is-PR825.tmp в <SYSTEM32>\AppeSwx.dll
- %WINDIR%\is-10L30.tmp в %WINDIR%\iWebOffice2009.ocx
Подменяет следующие файлы:
- <SYSTEM32>\AppeSwx.dll
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
