Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\hpf\shell\open\command] '' = 'IEXPLORE.EXE http://www.piaofang.net/?wj'
- [<HKLM>\SOFTWARE\Classes\htb\shell\open\command] '' = 'IEXPLORE.EXE http://taobao.loliso.com/?wj'
- [<HKLM>\SOFTWARE\Classes\hdh\shell\open\command] '' = 'IEXPLORE.EXE http://www.35yes.com/?wj'
- [<HKLM>\SOFTWARE\Classes\hyx\shell\open\command] '' = 'IEXPLORE.EXE http://www.d91d.com/?wj'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /G Everyone:r
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r %USERNAME%s
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r "Power Users"
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r "%USERNAME%
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r "Authenticated Users"
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r "Authenticated Users"
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r "Power Users"
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r "%USERNAME%
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r System
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Start Menu\Internet Expleror.hdh" /e /c /r Users
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r Users
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r Users
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r "%USERNAME%
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r System
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /G Everyone:r
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r %USERNAME%s
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r %USERNAME%s
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /r System
- <SYSTEM32>\cacls.exe "\Internet Expleror.hdh" /e /c /G Everyone:r
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r "Authenticated Users"
- <SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\Internet Expleror.hdh" /e /c /r "Power Users"
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\head[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\jj[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\lycss[1].css
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\foot[1].html
- %PROGRAM_FILES%\Internet Explorer\Connection Wizard\tbgw.ico
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\load[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\wangju[1].html
Присваивает атрибут 'скрытый' для следующих файлов:
- %PROGRAM_FILES%\Internet Explorer\Connection Wizard\tbgw.ico
Сетевая активность:
Подключается к:
- 'xm#.cc':80
- 'fi##.1166.in':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- fi##.1166.in/rt/head.html
- fi##.1166.in/rt/foot.html
- xm#.cc/images/lycss.css
- fi##.1166.in/rt/tree/wangju.html
- fi##.1166.in/rt/load.html
- xm#.cc/jj/
UDP:
- DNS ASK xm#.cc
- DNS ASK fi##.1166.in
- '<IP-адрес в локальной сети>':1037
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
