Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\RV\shell\open\command] '' = '"C:\Users\Public\RVL\RVDeploy.exe" "%1"'
Вредоносные функции:
Запускает на исполнение:
- '%TEMP%\RarSFX0\RVEraser.exe'
- '%TEMP%\RarSFX0\RVFirstLaunch.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\Users\Public\RVL\ICSharpCode.SharpZipLib.dll
- %WINDIR%\Fonts\RVFont.ttf
- %TEMP%\RarSFX0\RVFont.ttf
- C:\Users\Public\RVU\Uninstall.exe
- C:\Users\Public\RVL\RVLocalDescriptor.cfg
- C:\Users\Public\RVL\RVDeploy.exe
- %TEMP%\RarSFX0\RVEraser.exe
- %TEMP%\RarSFX0\RVDeploy.exe
- %TEMP%\RarSFX0\ICSharpCode.SharpZipLib.dll
- %TEMP%\RarSFX0\RVLocalDescriptor.cfg
- %TEMP%\RarSFX0\Uninstall.exe
- %TEMP%\RarSFX0\RVFirstLaunch.exe
Удаляет следующие файлы:
- %TEMP%\RarSFX0\RVFirstLaunch.exe
- %TEMP%\RarSFX0\RVEraser.exe
- %TEMP%\RarSFX0\RVDeploy.exe
- %TEMP%\RarSFX0\RVFont.ttf
- %TEMP%\RarSFX0\ICSharpCode.SharpZipLib.dll
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
