Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv.exe -o'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\pft3~tmp\mfc_setup.exe'
- '%TEMP%\pft3~tmp\atl.exe' /q
- '%TEMP%\pft3~tmp\f_ProductMgr.exe' /inst /cmh:FSD_NHN /asksave /askcontents
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\pft3~tmp\f_xc2106.dll
- %TEMP%\pft3~tmp\f_xc2107.dll
- %TEMP%\pft3~tmp\f_xc2108.dll
- %TEMP%\pft3~tmp\f_xc1908.dll
- %TEMP%\pft3~tmp\f_xc2100.dll
- %TEMP%\pft3~tmp\f_xc2104.dll
- %TEMP%\pft3~tmp\f_xc2152.dll
- %TEMP%\pft3~tmp\f_xc2155.dll
- %TEMP%\pft3~tmp\f_xc2160.dll
- %TEMP%\pft3~tmp\f_xc2110.dll
- %TEMP%\pft3~tmp\f_xc2112.dll
- %TEMP%\pft3~tmp\f_xc2150.dll
- %TEMP%\pft3~tmp\f_xc1030.dll
- %TEMP%\pft3~tmp\f_xc1032.dll
- %TEMP%\pft3~tmp\f_xc1034.dll
- %TEMP%\pft3~tmp\f_xc1020.dll
- %TEMP%\pft3~tmp\f_xc1022.dll
- %TEMP%\pft3~tmp\f_xc1024.dll
- %TEMP%\pft3~tmp\f_xc1902.dll
- %TEMP%\pft3~tmp\f_xc1904.dll
- %TEMP%\pft3~tmp\f_xc1906.dll
- %TEMP%\pft3~tmp\f_xc1704.dll
- %TEMP%\pft3~tmp\f_xc1708.dll
- %TEMP%\pft3~tmp\f_xc1900.dll
- %TEMP%\pft3~tmp\f_xc3200.dll
- %TEMP%\IXP000.TMP\atla.dll
- %TEMP%\IXP000.TMP\atlw.dll
- %TEMP%\IXP000.TMP\atl.inf
- %TEMP%\pft3~tmp\timestamp.exe
- %TEMP%\pft3~tmp\UnInstAcro.exe
- %WINDIR%\f_ProductMgr.log
- %WINDIR%\LastGood\TMP6.tmp
- %WINDIR%\Temp\OLD7.tmp
- <SYSTEM32>\SET8.tmp
- %TEMP%\IXP000.TMP\ADVPACK.DLL
- %TEMP%\IXP000.TMP\W95INF32.DLL
- %TEMP%\IXP000.TMP\W95INF16.DLL
- %TEMP%\pft3~tmp\f_xltsm.dll
- %TEMP%\pft3~tmp\f_xlus.dll
- %TEMP%\pft3~tmp\mfc42.dll
- %TEMP%\pft3~tmp\f_xc3210.dll
- %TEMP%\pft3~tmp\f_xc3220.dll
- %TEMP%\pft3~tmp\f_xc3230.dll
- %TEMP%\pft3~tmp\OffisMgr.exe
- %TEMP%\pft3~tmp\psapi.dll
- %TEMP%\pft3~tmp\smartvsd.vxd.98
- %TEMP%\pft3~tmp\mfc_setup.exe
- %TEMP%\pft3~tmp\MSVCP60.DLL
- %TEMP%\pft3~tmp\msvcrt.dll
- %TEMP%\pft3~tmp\f_cmh_ih.dll
- %TEMP%\pft3~tmp\f_cmh_pm.dll
- %TEMP%\pft3~tmp\f_diag.exe
- %TEMP%\pft3~tmp\f_cmhver.dll
- %TEMP%\pft3~tmp\f_cmh_dc.dll
- %TEMP%\pft3~tmp\f_cmh_dm.dll
- %TEMP%\pft3~tmp\f_iurc12.dll
- %TEMP%\pft3~tmp\f_kcl(hunviewer(2k)).fac
- %TEMP%\pft3~tmp\f_kcl(hwpview).fac
- %TEMP%\pft3~tmp\f_diag.ini
- %TEMP%\pft3~tmp\f_dn.dll
- %TEMP%\pft3~tmp\f_iurc09.dll
- %TEMP%\pft3~tmp\atl.exe
- %TEMP%\pft3~tmp\fclient.exe
- %TEMP%\pft3~tmp\fph.exe
- %TEMP%\ext2.tmp
- %TEMP%\plf1.tmp
- %TEMP%\pft3~tmp\pftw1.pkg
- %TEMP%\pft3~tmp\f_cc.dll
- %TEMP%\pft3~tmp\f_cie.dll
- %TEMP%\pft3~tmp\f_cm.dll
- %TEMP%\pft3~tmp\f_acc.dll
- %TEMP%\pft3~tmp\f_ah.dll
- %TEMP%\pft3~tmp\f_blksc.dll
- %TEMP%\pft3~tmp\f_kcl(notepad).fac
- %TEMP%\pft3~tmp\f_xc1000.dll
- %TEMP%\pft3~tmp\f_xc1001.dll
- %TEMP%\pft3~tmp\f_xc1002.dll
- %TEMP%\pft3~tmp\f_rc12.dll
- %TEMP%\pft3~tmp\f_sps_9x.dll
- %TEMP%\pft3~tmp\f_sps_nt.dll
- %TEMP%\pft3~tmp\f_xc1010.dll
- %TEMP%\pft3~tmp\f_xc1012.dll
- %TEMP%\pft3~tmp\f_xc1014.dll
- %TEMP%\pft3~tmp\f_xc1003.dll
- %TEMP%\pft3~tmp\f_xc1004.dll
- %TEMP%\pft3~tmp\f_xc1005.dll
- %TEMP%\pft3~tmp\f_kpi.dll
- %TEMP%\pft3~tmp\f_kp_nt4.sys
- %TEMP%\pft3~tmp\f_kp_nt5.sys
- %TEMP%\pft3~tmp\f_kcl(office97viewer).fac
- %TEMP%\pft3~tmp\f_kcl(wordpad).fac
- %TEMP%\pft3~tmp\f_kp.vxd
- %TEMP%\pft3~tmp\f_ProductMgr.exe
- %TEMP%\pft3~tmp\f_ProductMgr.ini
- %TEMP%\pft3~tmp\f_rc09.dll
- %TEMP%\pft3~tmp\f_oa.dll
- %TEMP%\pft3~tmp\f_pbrc09.dll
- %TEMP%\pft3~tmp\f_pbrc12.dll
Удаляет следующие файлы:
- %TEMP%\IXP000.TMP\ADVPACK.DLL
- %TEMP%\IXP000.TMP\W95INF32.DLL
- %TEMP%\IXP000.TMP\atl.inf
- %TEMP%\IXP000.TMP\atla.dll
- %TEMP%\IXP000.TMP\atlw.dll
- %TEMP%\pft3~tmp\pftw1.pkg
- %TEMP%\ext2.tmp
- <SYSTEM32>\SET8.tmp
- %TEMP%\IXP000.TMP\W95INF16.DLL
- %WINDIR%\Temp\OLD7.tmp
Перемещает следующие файлы:
- %WINDIR%\LastGood\TMP6.tmp в %WINDIR%\LastGood\system32\atl.dll
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
