Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Baidu\nvd.exe'
- '%APPDATA%\HintSoft\Hinsafe.exe'
- '<Текущая директория>\ClientStart.exe'
- '%APPDATA%\Baidu\TaskMgr.exe'
- '%APPDATA%\Baidu\110291.exe'
- '%APPDATA%\Baidu\10028.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%APPDATA%\Baidu\iPush.Dll"
- '<SYSTEM32>\regsvr32.exe' /s "%APPDATA%\Baidu\iePush.Dll"
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\updateok[1].xml
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\rnd[1].asp
- <SYSTEM32>\Hint_a1313.dll
- %APPDATA%\Baidu\nvd.exe
- %APPDATA%\HintSoft\Hinsafe.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\rturl[1].xml
- %WINDIR%\game.xml
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\exeurl[1].xml
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\jPop[1].xml
- %TEMP%\process_name.dat
- %APPDATA%\Baidu\iePush.Dll
- %TEMP%\ParemTranEx.dll
- %TEMP%\_server.dat
- %APPDATA%\Baidu\config.ini
- <Текущая директория>\ClientStart.exe
- %APPDATA%\Baidu\TaskMgr.exe
- %APPDATA%\Baidu\10028.exe
- %APPDATA%\Baidu\iePush.ini
- %APPDATA%\Baidu\iPush.Dll
- %APPDATA%\Baidu\110291.exe
- %APPDATA%\Baidu\iPushConfig.ini
Удаляет следующие файлы:
- %APPDATA%\Baidu\iPushConfig.ini
- %APPDATA%\Baidu\iPush.Dll
- %APPDATA%\Baidu\nvd.exe
- %TEMP%\process_name.dat
- %APPDATA%\Baidu\TaskMgr.exe
- %APPDATA%\Baidu\110291.exe
- %APPDATA%\Baidu\10028.exe
- %APPDATA%\Baidu\config.ini
- %APPDATA%\Baidu\iePush.ini
- %APPDATA%\Baidu\iePush.Dll
Сетевая активность:
Подключается к:
- 'ip.#8oo.com':80
- 'localhost':1045
- 'cp###.icoou.cn':80
- 'po##.icoou.cn':80
- 'po#.#coou.cn':80
- 'ga##.#65doc.info':9000
- 'tg.##7play.com':80
- '11#.#8.65.20':9000
- 'localhost':1041
TCP:
Запросы HTTP GET:
- cp###.icoou.cn/jPop.xml?nu#####################
- po##.icoou.cnhttp://pop1.icoou.cn/game.xml
- cp###.icoou.cn/rturl.xml?nu#####################
- cp###.icoou.cn/exeurl.xml?nu########################
- ip.#8oo.com/rnd.asp?nu#####################
- tg.##7play.com/tt2.txt
- tg.##7play.com/tt1.txt
- po#.#coou.cn/updateok.xml?nu#####################
- tg.##7play.com/iepush.txt
UDP:
- DNS ASK un###.pcdogs.info
- DNS ASK ro###.icoou.com
- DNS ASK un###.pk2012.info
- DNS ASK ro##.icoou.com
- DNS ASK ip#.#8oo.com
- DNS ASK un###.yaowan365.com
- DNS ASK cp###.icoou.cn
- DNS ASK ga##.#65doc.info
- DNS ASK tg.##7play.com
- DNS ASK po#.#coou.cn
- DNS ASK po##.icoou.cn
- DNS ASK ip.#8oo.com
- '25#.#55.255.255':1983
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
