Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\srchasst\chars\vip2.exe
- %WINDIR%\srchasst\chars\vip3.exe
- %WINDIR%\srchasst\chars\vip1.exe
- %WINDIR%\srchasst\chars\vip3.exe (загружен из сети Интернет)
- %WINDIR%\srchasst\chars\vip1.exe (загружен из сети Интернет)
- %WINDIR%\srchasst\chars\vip2.exe (загружен из сети Интернет)
Запускает на исполнение:
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.17##hcs.cn/cj/pz/tj1.htm
- <SYSTEM32>\reg.exe Delete "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs" /F
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.52##y.com
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.gr##ncj.cn/tj/amdown.asp?ac######################################### XP&lianmeng=110
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\vip3[1].exe
- %WINDIR%\srchasst\chars\vip2.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\vip2[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\tj1[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\amdown[1].asp
- %WINDIR%\srchasst\chars\vip3.exe
- %WINDIR%\system\test.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cj[1].txt
- %WINDIR%\srchasst\chars\vip1.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\vip1[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\52xdy[1]
Удаляет следующие файлы:
- %TEMP%\~DFB0A5.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\amdown[1].asp
- %WINDIR%\system\test.txt
Сетевая активность:
Подключается к:
- 'localhost':1044
- 'www.gr##ncj.cn':80
- 'www.17##hcs.cn':80
- 'localhost':1046
- 'localhost':1038
- 'localhost':1037
- 'www.52##y.com':80
- 'www.ta##oft.cn':80
TCP:
Запросы HTTP GET:
- www.gr##ncj.cn/vip3.exe
- www.gr##ncj.cn/tj/amdown.asp?ac###########################################################
- www.17##hcs.cn/cj/pz/tj1.htm
- www.gr##ncj.cn/vip2.exe
- www.ta##oft.cn/all/cj.txt
- www.52##y.com/
- www.gr##ncj.cn/vip1.exe
UDP:
- DNS ASK www.gr##ncj.cn
- DNS ASK www.17##hcs.cn
- DNS ASK www.ta##oft.cn
- DNS ASK www.52##y.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
