Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'hsdfasd' = '"%APPDATA%\PPLive\tmp.\a.{971C5380-92A0-5A69-B3EE-C3002B33309E}" hh.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\inl3.tmp'
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +s +h %APPDATA%\PPLive\tmp
- '<SYSTEM32>\attrib.exe' +s +h %APPDATA%\PPLive\tmp\a.{971C5380-92A0-5A69-B3EE-C3002B33309E}
- '<SYSTEM32>\reg.exe' add "HKCR\CLSID\{971C5380-92A0-5A69-B3EE-C3002B33309E}\Shell\open(&H)\Command" /v "" /d "wscript -e:vbs ""%APPDATA%\PPLive\3.bat""" /f
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\rundll32.exe' <Имя диска съемного носителя>:\VolumeDH\inj.dat,MainLoad
- '<SYSTEM32>\rundll32.exe' syssetup,SetupInfObjectInstallAction DefaultInstall 128 %APPDATA%\PPLive\2.inf
- '<SYSTEM32>\reg.exe' add "HKCR\CLSID\{971C5380-92A0-5A69-B3EE-C3002B33309E}" /v "IsShortCut" /d "" /f
- '<SYSTEM32>\rundll32.exe' syssetup,SetupInfObjectInstallAction DefaultInstall 128 %APPDATA%\PPLive\1.inf
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' Explorer\IEXPLORE.EXE http://WW#.##kankan.com/?82###
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\wm2010_stop.bat" "
- '<SYSTEM32>\reg.exe' add "HKCU\Software\tmp" /v "key" /d ""http://www.82##3.com/?o"" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d ""http://www.82##3.com/?o"" /f
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d ""http://www.82##3.com/?o"" /f
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\PPLive\╠╘▒ж╣║╬я.url
- %APPDATA%\PPLive\╟з═┼═┼╣║.url
- %APPDATA%\PPLive\├└┼о└╓╘░.url
- %APPDATA%\PPLive\┐┤┐┤╡ч╙░.url
- %APPDATA%\PPLive\░╦╪╘╔л═╝.url
- %APPDATA%\PPLive\1.inf
- %APPDATA%\PPLive\2.inf
- %APPDATA%\ampw.ooe.ini
- %APPDATA%\PPLive\3.bat
- %PROGRAM_FILES%\Internet Explorer\ieframe.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cnkankan[1]
- %TEMP%\inl3.tmp
- %APPDATA%\PIPI\meinv.ico
- %APPDATA%\PIPI\taobao.ico
- %APPDATA%\PIPI\kankan.ico
- %TEMP%\winrar_config.tmp
- %APPDATA%\PIPI\bagua.ico
- %APPDATA%\PIPI\1000tuan.ico
- %TEMP%\wm2010_stop.bat
- C:\zwok\xzok.bat
- %APPDATA%\PPLive\4.bat
- %APPDATA%\PPLive\1.bat
- %APPDATA%\PPLive\2.bat
Сетевая активность:
Подключается к:
- 'www.cn###kan.com':80
- 'localhost':1044
- 'localhost':1041
- 'localhost':1036
- '12#.#4.142.19':1000
TCP:
Запросы HTTP GET:
- www.cn###kan.com/?82###
UDP:
- DNS ASK www.cn###kan.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
