Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\7ZipSfx.000\TheWorld.exe /tp:1 /w:65848 /t:28835840 /r:65772 /m:1 /f:1 /s:0 /mw:65764 /gw:0 /c:"" /tmp:""
- %TEMP%\7ZipSfx.000\TheWorld.exe
- %TEMP%\TheWorld.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\7ZipSfx.000\data\pluginbar.dat
- %TEMP%\7ZipSfx.000\data\IEXCompat.dat
- %TEMP%\7ZipSfx.000\data\StatusBar.dat
- %TEMP%\7ZipSfx.000\TheWorld.exe
- %TEMP%\7ZipSfx.000\data\user.dat
- %TEMP%\7ZipSfx.000\data\history.dat
- %TEMP%\7ZipSfx.000\TheWorld.ini
- %TEMP%\7ZipSfx.000\Extensions\ExtAutoFill\ExtAutoFill.ini
- %TEMP%\7ZipSfx.000\data\URLTitle.ini
- %TEMP%\7ZipSfx.000\data\bookmarks.dat
- %TEMP%\7ZipSfx.000\data\backup\20120713.dat
- %TEMP%\7ZipSfx.000\Extensions\ExtAddons\ExtAddons.dll
- %TEMP%\7ZipSfx.000\data\twcache.ini
- %TEMP%\7ZipSfx.000\data\backup\20120904.dat
- %TEMP%\TheWorld\extension\Update\update.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hao.qq[1].dh
- %TEMP%\7ZipSfx.000\Extensions\ExtUrlQuery\ExtUrlQuery.dll
- %TEMP%\7ZipSfx.000\Extensions\ExtAutoFill\ExtAutoFill.dll
- %TEMP%\7ZipSfx.000\Extensions\ExtAdfilter\ExtAdfilter.dll
- %TEMP%\7ZipSfx.000\Extensions\ExtMinibar\ExtMinibar.dll
- %TEMP%\7ZipSfx.000\Extensions\ExtSuggest\ExtSuggest.dll
- %TEMP%\7ZipSfx.000\Extensions\ExtPages\ExtPages.dll
- %TEMP%\7ZipSfx.000\data\ico\www.baidu.com.ico
- %TEMP%\7ZipSfx.000\data\ico\video.yahoo.com.ico
- %TEMP%\7ZipSfx.000\data\ico\www.cankaoa.com.ico
- %TEMP%\7ZipSfx.000\data\ico\www.china.com.ico
- %TEMP%\7ZipSfx.000\data\ico\www.cankaoxiaoxi.com.ico
- %TEMP%\7ZipSfx.000\data\ico\user.qzone.qq.com.ico
- %TEMP%\TheWorld.exe
- %TEMP%\aut1.tmp
- %TEMP%\7ZipSfx.000\data\ico\cn.yahoo.com.ico
- %TEMP%\7ZipSfx.000\data\ico\news.baidu.com.ico
- %TEMP%\7ZipSfx.000\data\ico\hao.qq.com.ico
- %TEMP%\7ZipSfx.000\data\ico\www.cnbeta.com.ico
- %TEMP%\7ZipSfx.000\data\ico\www.verycd.com.ico
- %TEMP%\7ZipSfx.000\data\ico\www.tudou.com.ico
- %TEMP%\7ZipSfx.000\data\ico\www.xdowns.com.ico
- %TEMP%\7ZipSfx.000\Extensions\ExtAdfilter\ExtAdFilter.xml
- %TEMP%\7ZipSfx.000\data\ico\www.youku.com.ico
- %TEMP%\7ZipSfx.000\data\ico\www.taobao.com.ico
- %TEMP%\7ZipSfx.000\data\ico\www.google.com.hk.ico
- %TEMP%\7ZipSfx.000\data\ico\www.demonoid.me.ico
- %TEMP%\7ZipSfx.000\data\ico\www.hexun.com.ico
- %TEMP%\7ZipSfx.000\data\ico\www.soso.com.ico
- %TEMP%\7ZipSfx.000\data\ico\www.mininova.org.ico
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\7ZipSfx.000\data\twcache.ini
Удаляет следующие файлы:
- %TEMP%\TheWorld\extension\Update\update.ini
- %TEMP%\aut1.tmp
Сетевая активность:
Подключается к:
- 'localhost':1039
- 'ha#.qq.com':80
- 'localhost':1036
- 'ad####.ioage.com':80
TCP:
Запросы HTTP GET:
- ha#.qq.com/?ui##############################################
UDP:
- DNS ASK ha#.qq.com
- DNS ASK ad####.ioage.com
Другое:
Ищет следующие окна:
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'Internet Explorer_Server' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'XHinter' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Shell DocObject View' WindowName: ''
- ClassName: 'Shell Embedding' WindowName: ''
