Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{5C3853CF-C7E0-4946-B3FA-1ABDB6F48108}] 'ClsidExtension' = '{5C3853CF-C7E0-4946-B3FA-1ABDB6F48108}'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'CdnCtr' = '%PROGRAM_FILES%\CNNIC\Cdn\cdnup.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\acpidisk] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\cdnprot] 'start' = '00000000'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\1183.exe' 7212
- '%TEMP%\tempaq' 70137
- '%TEMP%\7\setup.exe' 00010802
- '%WINDIR%\Temp\my_70137.exe'
- '%WINDIR%\Temp\setup224.exe'
- '%WINDIR%\Temp\dodolook212.exe'
- '%WINDIR%\Temp\SkypeClient.exe'
- '%TEMP%\tempaq' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /u /s "%PROGRAM_FILES%\Huaci\Huaci\SearchM.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "%PROGRAM_FILES%\SearchNet\SNHpr.dll"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\7\cdnup.exe
- %TEMP%\7\cdnunins.exe
- %TEMP%\7\idnconvs.dll
- %TEMP%\7\cdnvers.dat
- %TEMP%\7\cdnprot.sys
- %TEMP%\7\cdnins.dll
- %TEMP%\7\cdnforie.dll
- %TEMP%\7\cdnprot.dat
- %TEMP%\7\cdnprh.dll
- %TEMP%\7\setup.exe
- %PROGRAM_FILES%\CNNIC\Cdn\cdnaux.dll
- %PROGRAM_FILES%\CNNIC\Cdn\src.dat
- %PROGRAM_FILES%\CNNIC\Cdn\cdnforie.dll
- %PROGRAM_FILES%\CNNIC\Cdn\cdnup.exe
- %PROGRAM_FILES%\CNNIC\Cdn\cdnunins.exe
- %TEMP%\src.tmp
- %TEMP%\7\src.dat
- %PROGRAM_FILES%\CNNIC\Cdn\cdnvers.dat
- %PROGRAM_FILES%\CNNIC\Cdn\idnconvs.dll
- %TEMP%\7\cdnaux.dll
- %TEMP%\1183.exe
- %TEMP%\nss2.tmp\System.dll
- %TEMP%\DoSSSetup.dll
- %TEMP%\nsa4.tmp\System.dll
- %TEMP%\boolf
- %WINDIR%\Temp\dodolook212.exe
- %WINDIR%\Temp\setup224.exe
- %WINDIR%\Temp\my_70137.exe
- %WINDIR%\Temp\SkypeClient.exe
- %TEMP%\acpidisk.sys
- %TEMP%\lhr6.tmp
- %TEMP%\tempaq
- %TEMP%\7\cdn.dll
- %TEMP%\dre2r54.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mminstall[1]
- <SYSTEM32>\winlib .dll
- <DRIVERS>\acpidisk.sys
- <SYSTEM32>\mprmsgse.axz
Удаляет следующие файлы:
- %TEMP%\boolf
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mminstall[1]
- %TEMP%\lhr6.tmp
- %TEMP%\src.tmp
- %TEMP%\dre2r54.dll
- %TEMP%\nss2.tmp\System.dll
- %TEMP%\nsa4.tmp\System.dll
- <SYSTEM32>\winlib .dll
- %TEMP%\1183.exe
- %TEMP%\DoSSSetup.dll
- %TEMP%\acpidisk.sys
Сетевая активность:
Подключается к:
- 'gs.###system.com':80
- 'in#####3.ring520.org':80
TCP:
Запросы HTTP GET:
- gs.###system.com/gs.php?12##########################################################################################################################################
- in#####3.ring520.org/kkkk/mminstall.exe?qu###########
UDP:
- DNS ASK gs.###system.com
- DNS ASK in#####3.ring520.org
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'CdnUp'
- ClassName: '' WindowName: 'Chinese Navigation Upgrade'
- ClassName: '' WindowName: 'Chinese Navigation'
- ClassName: '' WindowName: 'CdnHide'
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Progman' WindowName: 'Program Manager'
