Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\.hpf\shell\open\command] '' = 'IEXPLORE.EXE http://www.piaofang.net/?wj'
- [<HKLM>\SOFTWARE\Classes\.htb\shell\open\command] '' = 'IEXPLORE.EXE http://taobao.loliso.com/?wj'
- [<HKLM>\SOFTWARE\Classes\.hdh\shell\open\command] '' = 'IEXPLORE.EXE http://www.35yes.com/?wj'
- [<HKLM>\SOFTWARE\Classes\.hyx\shell\open\command] '' = 'IEXPLORE.EXE http://www.d91d.com/?wj'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /G Everyone:r
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r %USERNAME%s
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r "Power Users"
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r "%USERNAME%
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r "Authenticated Users"
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r "Authenticated Users"
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r "Power Users"
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r "%USERNAME%
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r System
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r Users
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r Users
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r Users
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r "%USERNAME%
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r System
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /G Everyone:r
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r %USERNAME%s
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r %USERNAME%s
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r System
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /G Everyone:r
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r "Authenticated Users"
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r "Power Users"
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\head[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\foot[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\Index[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\wangju[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[1].html
Сетевая активность:
Подключается к:
- 'www.uu##shu.com':80
- 'im####.uuyishu.com':99
- 'localhost':1035
- 'fi##.1166.in':80
TCP:
Запросы HTTP GET:
- fi##.1166.in/rt/head.html
- fi##.1166.in/rt/foot.html
- www.uu##shu.com/yishu/Index.html
- fi##.1166.in/rt/tree/wangju.html
- fi##.1166.in/rt/load.html
UDP:
- DNS ASK im####.uuyishu.com
- DNS ASK www.uu##shu.com
- DNS ASK fi##.1166.in
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
