Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Win32.Expiro.47
Добавлен в вирусную базу Dr.Web:
2013-02-20
Описание добавлено:
2013-03-12
Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
[<HKLM>\SYSTEM\ControlSet001\Services\idsvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\dmadmin] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\ImapiService] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\mnmsrvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\ClipSrv] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\CiSvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\clr_optimization_v4.0.30319_32] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\clr_optimization_v2.0.50727_32] 'Start' = '00000002'
Заражает следующие исполняемые системные файлы:
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe
<SYSTEM32>\dmadmin.exe
<SYSTEM32>\imapi.exe
<SYSTEM32>\msiexec.exe
<SYSTEM32>\mnmsrvc.exe
<SYSTEM32>\cisvc.exe
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_state.exe
<SYSTEM32>\clipsrv.exe
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
Вредоносные функции:
Запускает на исполнение:
<SYSTEM32>\dmadmin.exe /com
<SYSTEM32>\mnmsrvc.exe
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
<SYSTEM32>\cisvc.exe
<SYSTEM32>\wbem\wmiadap.exe /R /T
Изменения в файловой системе:
Создает следующие файлы:
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.vir
<SYSTEM32>\dmadmin.vir
<SYSTEM32>\imapi.vir
<SYSTEM32>\msiexec.vir
<SYSTEM32>\mnmsrvc.vir
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.vir
<SYSTEM32>\cisvc.vir
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_state.vir
<SYSTEM32>\clipsrv.vir
<SYSTEM32>\wbem\Performance\WmiApRpl_new.ini
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\mscorsvw.vir
Удаляет следующие файлы:
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.vir
<SYSTEM32>\dmadmin.vir
<SYSTEM32>\mnmsrvc.vir
<SYSTEM32>\msiexec.vir
<SYSTEM32>\imapi.vir
<SYSTEM32>\cisvc.vir
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_state.vir
<SYSTEM32>\clipsrv.vir
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.vir
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\mscorsvw.vir
Перемещает следующие файлы:
<SYSTEM32>\wbem\Performance\WmiApRpl_new.ini в <SYSTEM32>\wbem\Performance\WmiApRpl.ini
<SYSTEM32>\wbem\Performance\WmiApRpl_new.h в <SYSTEM32>\wbem\Performance\WmiApRpl.h
Другое:
Ищет следующие окна:
ClassName: 'EDIT' WindowName: ''
ClassName: 'SysListView32' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK