Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Kismain.exe] 'debugger' = '"%PROGRAM_FILES%\360\safetray\360safetray.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kpopserver.exe] 'debugger' = '"%PROGRAM_FILES%\360\safetray\360safetray.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kxescore.exe] 'debugger' = '"%PROGRAM_FILES%\360\safetray\360safetray.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360sd.exe] 'debugger' = '"%PROGRAM_FILES%\360\safetray\ksafetray.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQdoctorRtp.exe] 'debugger' = '"%PROGRAM_FILES%\360\safetray\ksafetray.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KSafe.exe] 'debugger' = '"%PROGRAM_FILES%\360\safetray\360safetray.exe"'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\taskkill.exe /f /im kxescore.exe
- <SYSTEM32>\taskkill.exe /f /im kxesapp.exe
- <SYSTEM32>\taskkill.exe /f /im kxetray.exe
- <SYSTEM32>\taskkill.exe /f /im ksafetray.exe
- <SYSTEM32>\taskkill.exe /f /im kismain.exe
- <SYSTEM32>\ping.exe -n 1 g-cn.8800.org
- <SYSTEM32>\ping.exe -n 1 b-cn.8800.org
- <SYSTEM32>\taskkill.exe /f /im kpopserver.exe
- <SYSTEM32>\taskkill.exe /f /im QQdoctorRtp.exe
- <SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQdoctorRtp.exe" /v debugger /d """"%PROGRAM_FILES%\360\safetray\ksafetray.exe"""" /f
- <SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KSafe.exe" /v debugger /d """"%PROGRAM_FILES%\360\safetray\360safetray.exe"""" /f
- <SYSTEM32>\cmd.exe /c """%TEMP%\win32.bat"""
- <SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360sd.exe" /v debugger /d """"%PROGRAM_FILES%\360\safetray\ksafetray.exe"""" /f
- <SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Kismain.exe" /v debugger /d """"%PROGRAM_FILES%\360\safetray\360safetray.exe"""" /f
- <SYSTEM32>\taskkill.exe /f /im 360sd.exe
- <SYSTEM32>\taskkill.exe /f /im 360tray.exe
- <SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kpopserver.exe" /v debugger /d """"%PROGRAM_FILES%\360\safetray\360safetray.exe"""" /f
- <SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kxescore.exe" /v debugger /d """"%PROGRAM_FILES%\360\safetray\360safetray.exe"""" /f
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\a.txt
- <SYSTEM32>\winsd.inf
- %TEMP%\win32.bat
- %TEMP%\exe1.tmp
Удаляет следующие файлы:
- <Текущая директория>\a.txt
Сетевая активность:
UDP:
- DNS ASK b-##.8800.org
- DNS ASK g-##.8800.org
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
