Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\hzsoft\SgExplo34_4766.exe' /sp- /verysilent
- '<Текущая директория>\hzsoft\kwmusic16_4766.exe' /sp- /verysilent
- '<Текущая директория>\hzsoft\ydcidian28_4766.exe' /sp- /verysilent
- '<Текущая директория>\hzsoft\rav1368469.exe'
- '<Текущая директория>\hzsoft\kavsetup35_4766.exe' /sp- /verysilent
- '<Текущая директория>\hzsoft\kuping_s_23525.exe'
- '<Текущая директория>\hzsoft\PPTV(pplive)_jinshan_13692.exe'
- '<Текущая директория>\hzsoft\QKGameHall_4.2.0_hm3.exe'
- '<Текущая директория>\vnetcoa.exe'
- '<Текущая директория>\hzsoft\HaoZipDown.207903.exe'
- '<Текущая директория>\hzsoft\kwmusic16_4766.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\PPTV(pplive)_jinshan_13692.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\kavsetup35_4766.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\rav1368469.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\HaoZipDown.207903.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\QKGameHall_4.2.0_hm3.exe' (загружен из сети Интернет)
- '<Текущая директория>\vnetcoa.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\kuping_s_23525.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\SgExplo34_4766.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\ydcidian28_4766.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\kslidyh.bat
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\kavsetup35_4766[1].exe
- <Текущая директория>\hzsoft\kavsetup35_4766.exe
- <Текущая директория>\hzsoft\rav1368469.exe
- <Текущая директория>\hzsoft\kuping_s_23525.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\rav1368469[1].exe
- <Текущая директория>\hzsoft\PPTV(pplive)_jinshan_13692.exe
- <Текущая директория>\kslidyh.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\PPTV(pplive)_jinshan_13692[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kwmusic16_4766[1].exe
- <Текущая директория>\hzsoft\kwmusic16_4766.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\kuping_s_23525[1].exe
- <Текущая директория>\hzsoft\QKGameHall_4.2.0_hm3.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\HaoZipDown.207903[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\QKGameHall_4.2.0_hm3[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\vnetcoa[1].exe
- <Текущая директория>\vnetcoa.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\SgExplo34_4766[1].exe
- <Текущая директория>\hzsoft\SgExplo34_4766.exe
- <Текущая директория>\hzsoft\ydcidian28_4766.exe
- <Текущая директория>\hzsoft\HaoZipDown.207903.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ydcidian28_4766[1].exe
Удаляет следующие файлы:
- <Текущая директория>\vnetcoa.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'do####ad.wallba.com':80
- 'my.##da123.com':80
- 'd.#####.ijinshan.com':80
- 'rs######ad.rising.com.cn':80
- '21#.#47.15.3':80
- 'localhost':1038
- 'do####ad.haozip.com':80
- 'do##.7k7k.com':80
TCP:
Запросы HTTP GET:
- rs######ad.rising.com.cn/for_down/rsfree2011/ravf/rav1368469.exe
- do####ad.wallba.com/download.php/kuping_s_23525.exe
- my.##da123.com/down35/kavsetup35_4766.exe
- d.#####.ijinshan.com/pptv/link/PPTV(pplive)_jinshan_13692.exe
- my.##da123.com/down13/kwmusic16_4766.exe
- do##.7k7k.com/box/QKGameHall_4.2.0_hm3.exe
- 21#.#47.15.3/dls/vnetcoa.exe
- do####ad.haozip.com/union/HaoZipDown.207903.exe
- my.##da123.com/down34x/SgExplo34_4766.exe
- my.##da123.com/down28/ydcidian28_4766.exe
UDP:
- DNS ASK do####ad.wallba.com
- DNS ASK rs######ad.rising.com.cn
- DNS ASK d.#####.ijinshan.com
- DNS ASK do##.7k7k.com
- DNS ASK do####ad.haozip.com
- DNS ASK my.##da123.com
