Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'zjn' = 'wscript.exe //B "%HOMEPATH%\zjn.vbs"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'zjn' = 'wscript.exe //B "%HOMEPATH%\zjn.vbs"'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\zjn.vbs
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\zjn.vbs
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\GLB1.tmp' 4736 %PROGRAM_FILES%\SBVAV3~1.EXE
- '%PROGRAM_FILES%\sbva v 3310.exe'
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' //B "%HOMEPATH%\zjn.vbs"
- '<SYSTEM32>\wscript.exe' "<SYSTEM32>\zjn.vbs"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\LocalesU\VAESM.LNG
- %TEMP%\LocalesU\VAENG.LNG
- %TEMP%\LocalesU\VAFIL.LNG
- %TEMP%\LocalesU\VAFAR.LNG
- %TEMP%\~GLH0006.TMP
- %TEMP%\~GLH0005.TMP
- %TEMP%\LocalesU\VADEU.LNG
- %TEMP%\SAINST\~GLH0007.TMP
- %TEMP%\LocalesU\VAFRA.LNG
- %TEMP%\LocalesU\VAPTB.LNG
- %TEMP%\LocalesU\VAPOL.LNG
- %TEMP%\LocalesU\VASRB.LNG
- %TEMP%\LocalesU\VAROM.LNG
- %TEMP%\LocalesU\VAITA.LNG
- %TEMP%\LocalesU\VAIDN.LNG
- %TEMP%\LocalesU\VANLD.LNG
- %TEMP%\LocalesU\VAJPN.LNG
- %HOMEPATH%\zjn.vbs
- %PROGRAM_FILES%\SpeedBit Video Accelerato\SpeedBit Video\Uninstall.ini
- %PROGRAM_FILES%\SpeedBit Video Accelerato\SpeedBit Video\Uninstall.exe
- %TEMP%\GLC2.tmp
- %TEMP%\GLB1.tmp
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %PROGRAM_FILES%\sbva v 3310.exe
- <SYSTEM32>\zjn.vbs
- %TEMP%\GLJ3.tmp
- %TEMP%\~GLH0002.TMP
- %TEMP%\~GLH0001.TMP
- %TEMP%\~GLH0004.TMP
- %TEMP%\~GLH0003.TMP
- %TEMP%\GLM5.tmp
- %TEMP%\GLK4.tmp
- %TEMP%\~GLH0000.TMP
- %TEMP%\GLG7.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\zjn.vbs
Удаляет следующие файлы:
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
Перемещает следующие файлы:
- %TEMP%\~GLH0005.TMP в %TEMP%\About SpeedBit Video Accelerator.url
- %TEMP%\~GLH0004.TMP в %TEMP%\GLF9.tmp
- %TEMP%\SAINST\~GLH0007.TMP в %TEMP%\SAINST\LangPackU.cab
- %TEMP%\~GLH0006.TMP в %TEMP%\svd_va.exe
- %TEMP%\~GLH0001.TMP в %TEMP%\cabex.dll
- %TEMP%\~GLH0000.TMP в %TEMP%\GLF8.tmp
- %TEMP%\~GLH0003.TMP в %TEMP%\TemplateHtml.html
- %TEMP%\~GLH0002.TMP в %TEMP%\encode.ini
Сетевая активность:
Подключается к:
- 'q-#.#o-ip.biz':511
- 'localhost':1036
UDP:
- DNS ASK q-#.#o-ip.biz
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
