Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\kuplay1388231349.exe'
- 'C:\qh_domestic.exen=qh_domestic.exe'
- 'C:\GWvrnV-8-54399(2051).exe'
- 'C:\lekuTV_23_54399.exe'
- 'C:\51stShow_u1125602_21_1.0.exe'
- 'C:\yuyus_53_25602.exe'
- 'C:\GWvrnV-8-54399(2051).exe' (загружен из сети Интернет)
- 'C:\lekuTV_23_54399.exe' (загружен из сети Интернет)
- 'C:\yuyus_53_25602.exe' (загружен из сети Интернет)
- 'C:\51stShow_u1125602_21_1.0.exe' (загружен из сети Интернет)
- 'C:\qh_domestic.exen=qh_domestic.exe' (загружен из сети Интернет)
- 'C:\kuplay1388231349.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%TEMP%\RarSFX0\jm.VBS"
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\2[1].exe
- C:\qh_domestic.exen=qh_domestic.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\qh_domestic.exen=qh_domestic[1].exe
- C:\lekuTV_23_54399.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\lekuTV_23_54399[1].exe
- C:\GWvrnV-8-54399(2051).exe
- C:\kuplay1388231349.exe
- C:\51stShow_u1125602_21_1.0.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\dow[1].php
- %TEMP%\RarSFX0\jm.VBS
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\kuplay[1].exe
- C:\yuyus_53_25602.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\yuyus_53_25602[1].exe
Удаляет следующие файлы:
- %TEMP%\RarSFX0\jm.VBS
Сетевая активность:
Подключается к:
- '11#.#1.184.17':80
- 'do##.hywfy.com':80
- '54###.jiadegood.com':80
- 'ft#.#bprc.com':80
- 'localhost':1037
- 'do##.msxlqc.com':80
- 'do##.hit020.com':80
TCP:
Запросы HTTP GET:
- 11#.#1.184.17/fba/f9fa5/fba9aa1e67e2b83548801e502ea14c3dfe0f9fa5/qh_domestic.exen=qh_domestic.exe
- do##.hywfy.com/soft/2.exe?_u###########################
- 54###.jiadegood.com/lekuTV_23_54399.exe
- do##.msxlqc.com/dow.php?do##############################
- do##.hit020.com/new8/yuyus_53_25602.exe
- ft#.#bprc.com/kuplay.exe?_u#######################
UDP:
- DNS ASK do##.hywfy.com
- DNS ASK 54###.jiadegood.com
- DNS ASK ft#.#bprc.com
- DNS ASK do##.msxlqc.com
- DNS ASK do##.hit020.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
