Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\ktv.lnk
- %WINDIR%\Tasks\ms.job
- %WINDIR%\Tasks\SA.DAT
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\OSTD] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Schedule] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\dc2d.exe -s -i
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe /s "<SYSTEM32>/cd2o.dll"
- <SYSTEM32>\rundll32.exe <SYSTEM32>/dc2e.dll,Always
- <SYSTEM32>\rundll32.exe <SYSTEM32>/dc2e.dll, Always
- <SYSTEM32>\regsvr32.exe /u /s "<SYSTEM32>/cd2o.dll"
- <SYSTEM32>\regsvr32.exe /u /s "<SYSTEM32>/82le.dll"
- <SYSTEM32>\regsvr32.exe /u /s "<SYSTEM32>/0ccc.dll"
- <SYSTEM32>\regsvr32.exe /u /s "<SYSTEM32>/2bdr.dll"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\r58qs8\_uninstall
- <SYSTEM32>\3c47
- <SYSTEM32>\8977-16
- %TEMP%\r58qs8\2.tmp
- %TEMP%\r58qs8\tmp.exe.tmp
- %TEMP%\r58qs8\tmp.exe
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\QVMLMHMP\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\2ZIBYZ8J\desktop.ini
- %WINDIR%\Temp\History\History.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\MOF0VOR0\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\8LYNC12F\desktop.ini
- %TEMP%\h8nil4o8\4.dll
- %TEMP%\h8nil4o8\mtv.exe.tmp
- %TEMP%\h8nil4o8\mtv.exe
- %TEMP%\h8nil4o8\p.dll.zgx.tmp
- %TEMP%\h8nil4o8\z.lz
- %TEMP%\h8nil4o8\b.dll.zgx.tmp
- %TEMP%\h8nil4o8\b.dll.zgx
- %TEMP%\h8nil4o8\_uninstall
- %TEMP%\h8nil4o8\2.dll
- %TEMP%\h8nil4o8\3.dll
- %TEMP%\h8nil4o8\p.dll.zgx
- %TEMP%\h8nil4o8\s.exe.tmp
- %TEMP%\h8nil4o8\s.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\QVMLMHMP\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\2ZIBYZ8J\desktop.ini
- %WINDIR%\Temp\History\History.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\MOF0VOR0\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\8LYNC12F\desktop.ini
Удаляет следующие файлы:
- %TEMP%\r58qs8\_uninstall
- %TEMP%\r58qs8\2.tmp
- %TEMP%\h8nil4o8\mtv.exe
- %TEMP%\h8nil4o8\_uninstall
- %TEMP%\h8nil4o8\z.lz
- %TEMP%\h8nil4o8\mtv.exe.tmp
- %TEMP%\h8nil4o8\b.dll.zgx.tmp
- %TEMP%\h8nil4o8\p.dll.zgx.tmp
- %TEMP%\r58qs8\tmp.exe.tmp
- %TEMP%\h8nil4o8\s.exe.tmp
Сетевая активность:
Подключается к:
- '12#.#apl55.com':80
- '12#.#ant-k.com':80
- '12#.##0304123.cn':80
- '12#.zzso.cn':80
TCP:
Запросы HTTP GET:
- 12#.#apl55.com/1.gif
- 12#.#ant-k.com/1.gif
- 12#.##0304123.cn/1.gif
- 12#.zzso.cn/1.gif
UDP:
- DNS ASK 12#.#apl55.com
- DNS ASK 12#.#ant-k.com
- DNS ASK 12#.zzso.cn
- DNS ASK ya###.com.cn
- DNS ASK 12#.##0304123.cn
