Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\Userinit.exe,<SYSTEM32>\EXPL0RE.EXE,'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Cредство проверки системных файлов (SFC)
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\autE.tmp
- %TEMP%\autD.tmp
- %TEMP%\autF.tmp
- %TEMP%\aut11.tmp
- %TEMP%\aut10.tmp
- <SYSTEM32>\baidu.ico
- %TEMP%\aut9.tmp
- %TEMP%\autA.tmp
- %TEMP%\autC.tmp
- %TEMP%\autB.tmp
- %TEMP%\aut12.tmp
- <SYSTEM32>\hjupdata.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hjupdata[1].txt
- <SYSTEM32>\winhjtools.dll
- <SYSTEM32>\updata.jpg
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\updata[1].jpg
- %TEMP%\aut13.tmp
- %PROGRAM_FILES%\Internet Explorer\IEXPL0RER.LNK
- %TEMP%\aut14.tmp
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Жф¶Ї Internet Explorer дЇААЖч.lnk
- %TEMP%\aut15.tmp
- <SYSTEM32>\S0UANMAN.dll
- %PROGRAM_FILES%\360Safebox\360ss.dat
- <SYSTEM32>\EXPL0RE.EXE
- <DRIVERS>\S0UANMAN.dll
- %WINDIR%\S0UANDMAX.dat
- %TEMP%\fobcdfi
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut3.tmp
- %PROGRAM_FILES%\360safe\360ss.dat
- <DRIVERS>\fat32r.DAT
- %TEMP%\aut7.tmp
- <SYSTEM32>\SOUNDMAN.ico
- <SYSTEM32>\OemLink.ico
- <SYSTEM32>\OemLinksw.ico
- %TEMP%\aut8.tmp
- %PROGRAM_FILES%\Internet Explorer\Connection Wizard\IEXPLoRE.EXE
- %TEMP%\aut4.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut6.tmp
- %PROGRAM_FILES%\Internet Explorer\IEXPLoREPLUS.EXE
Удаляет следующие файлы:
- %TEMP%\aut10.tmp
- %TEMP%\aut11.tmp
- %TEMP%\aut12.tmp
- %TEMP%\autD.tmp
- %TEMP%\autE.tmp
- %TEMP%\autF.tmp
- %TEMP%\aut13.tmp
- <SYSTEM32>\EXPL0RE.EXE
- <DRIVERS>\S0UANMAN.dll
- <SYSTEM32>\updata.jpg
- %TEMP%\aut14.tmp
- %TEMP%\aut15.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\updata[1].jpg
- %TEMP%\autC.tmp
- %TEMP%\aut3.tmp
- <DRIVERS>\etc\hosts
- %TEMP%\aut4.tmp
- %TEMP%\aut1.tmp
- %TEMP%\fobcdfi
- %TEMP%\aut2.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut9.tmp
- %TEMP%\autA.tmp
- %TEMP%\autB.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut8.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'www.sw##0.cn':80
TCP:
Запросы HTTP GET:
- www.sw##0.cn/updata.jpg
- www.sw##0.cn/hjupdata.txt
UDP:
- DNS ASK www.sw##0.cn
