Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\duoduo\bd.exe'
- '%PROGRAM_FILES%\duoduo\youd.exe'
- '%PROGRAM_FILES%\uaua7588.exe'
- '%PROGRAM_FILES%\duoduo\fen.exe'
- '%PROGRAM_FILES%\duoduo\tc.exe'
- '%PROGRAM_FILES%\duoduo\bibibei.exe'
- '%PROGRAM_FILES%\duoduo\mytool.exe'
- '%PROGRAM_FILES%\duoduo\arun.exe'
- '%PROGRAM_FILES%\duoduo\QvodTermin.exe'
- '%PROGRAM_FILES%\duoduo\k.exe'
- '%PROGRAM_FILES%\duoduo\m.exe'
- '%PROGRAM_FILES%\uaua7588.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://%7######7%2E%36%646d.net/
- '<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\±И±ИЯВ\bibibei.dll"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bd[1].php
- C:\qcfg.ini
- %TEMP%\nsx2.tmp\System.dll
- %PROGRAM_FILES%\±И±ИЯВ\bibibei.dll
- %PROGRAM_FILES%\duoduo\youd.exe
- %PROGRAM_FILES%\duoduo\tc.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\a[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mm[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\uaua7588[1].exe
- %PROGRAM_FILES%\±И±ИЯВ\Р¶ФШ.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\think[1].js
- %PROGRAM_FILES%\uaua7588.exe
- %PROGRAM_FILES%\±И±ИЯВ\bibibei.ico
- %PROGRAM_FILES%\±И±ИЯВ\±И±ИЯВ№Щ·ЅНшХѕ.url
- %ALLUSERSPROFILE%\Start Menu\Programs\±И±ИЯВ\Р¶ФШ.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\±И±ИЯВ\±И±ИЯВ№Щ·ЅНшХѕ.lnk
- %PROGRAM_FILES%\duoduo\bd.exe
- %PROGRAM_FILES%\duoduo\arun.exe
- %PROGRAM_FILES%\duoduo\Client.ini
- %PROGRAM_FILES%\duoduo\bibibei.exe
- %PROGRAM_FILES%\duoduo\res\b_logo_1.bmp
- %PROGRAM_FILES%\duoduo\res\91555game.ico
- %PROGRAM_FILES%\duoduo\res\Thumbs.db
- %PROGRAM_FILES%\duoduo\res\logo_1.bmp
- %PROGRAM_FILES%\duoduo\mytool.exe
- %PROGRAM_FILES%\duoduo\m.exe
- %PROGRAM_FILES%\duoduo\QvodTermin.exe
- %PROGRAM_FILES%\duoduo\ppf.exe
- %PROGRAM_FILES%\duoduo\DDVInstall.exe
- %PROGRAM_FILES%\duoduo\coop.exe
- %PROGRAM_FILES%\duoduo\k.exe
- %PROGRAM_FILES%\duoduo\fen.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %PROGRAM_FILES%\duoduo\res\Thumbs.db
Удаляет следующие файлы:
- %TEMP%\nsx2.tmp\System.dll
Сетевая активность:
Подключается к:
- 'localhost':1048
- '22#.#17.240.30':80
- 'localhost':1046
- 'localhost':1051
- 'ab#.#0555.info':8080
- 't.###ibei.com':80
- 'localhost':1045
- 'localhost':1040
- 'www.le##tv.info':80
- 'localhost':1036
- 'localhost':1043
- 'localhost':1042
- 'ta####.55515.net':80
TCP:
Запросы HTTP GET:
- 22#.#17.240.30/soft/uaua7588.exe
- t.###ibei.com/thinker/js/think.js
- ta####.55515.net/bd/bd.php?20######
- www.le##tv.info/box/mm.htm?11##
- www.le##tv.info/box/a.htm?11##
UDP:
- DNS ASK bn####.baidusetup.info
- DNS ASK t.###ibei.com
- DNS ASK www.6d##.net
- DNS ASK ne#####.funshion.com
- DNS ASK ab#.#0555.info
- DNS ASK ta####.55515.net
- DNS ASK www.le##tv.info
- DNS ASK ui####.baidusetup.info
- DNS ASK co####.youdao.com
- DNS ASK ak##.##idusetup.info
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: '(null)'
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: 'CabinetWClass' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
