Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'scNine' = '%WINDIR%\windates.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MSDCOMClient32] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\inf\MSLogin64.exe /install e14
- %WINDIR%\inf\MSLogin64.exe
- <SYSTEM32>\inf\d03.exe
- %TEMP%\pa08.exe
- %TEMP%\e14.exe
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe /s scNine.dll
- <SYSTEM32>\regsvr32.exe /s Boos.dll
- <SYSTEM32>\regsvr32.exe /s "%CommonProgramFiles%\CPUSH\cpush.dll"
- <SYSTEM32>\svchost.exe -k netsvcs
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
следующие пользовательские процессы:
- 360tray.exe
Ищет следующие окна с целью
обхода различных антивирусов:
- ClassName: 'AVP.AlertDialog' WindowName: '????????'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\scNine[1].dll
- %PROGRAM_FILES%\scNine\scNine.dll
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\newup2[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\Boos[1].dll
- %PROGRAM_FILES%\scNine\Boos.dll
- %WINDIR%\Temp\~windows.log
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\schunin[1].exe
- %WINDIR%\schunin.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\rialtom_cnt[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\iexplore.exe[1].manifest
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\windates[1].exe
- %WINDIR%\windates.exe
- <SYSTEM32>\inf\MSLogin64.exe
- <SYSTEM32>\inf\d03.exe
- %TEMP%\nsg5.tmp
- %TEMP%\nsj2.tmp
- %TEMP%\pa08.exe
- %TEMP%\e14.exe
- %WINDIR%\inf\UsbDevices.inf
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\version[1].txt
- %PROGRAM_FILES%\scNine\version.txt
- %WINDIR%\inf\MSLogin64.exe
- %CommonProgramFiles%\CPUSH\Uninst.exe
- %CommonProgramFiles%\CPUSH\cpush.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\inf\UsbDevices.inf
Удаляет следующие файлы:
- %WINDIR%\inf\UsbDevices.inf
Сетевая активность:
Подключается к:
- 'so##.16990.com':80
- 'pr#.#artria.com':80
- 'localhost':1038
- 'localhost':1035
- 'up#####.searchnine.cn':80
TCP:
Запросы HTTP GET:
- up#####.searchnine.cn/Toolbar/windates.exe
- up#####.searchnine.cn/Toolbar/iexplore.exe.manifest
- pr#.#artria.com/Pro/rialtom_cnt.php?ma####################################
- up#####.searchnine.cn/Toolbar/schunin.exe
- up#####.searchnine.cn/Toolbar/Boos.dll
- up#####.searchnine.cn/Toolbar/version.txt
- so##.16990.com/newup2.txt
- up#####.searchnine.cn/Toolbar/scNine.dll
UDP:
- DNS ASK pr#.#artria.com
- DNS ASK so##.16990.com
- DNS ASK up#####.searchnine.cn
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '#32770' WindowName: '????360????????'
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: '###McAlertWindow###' WindowName: ''
- ClassName: '#32770' WindowName: '??????????'
- ClassName: 'Afx:400000:0' WindowName: ''
- ClassName: '#32770' WindowName: 'McAfee Personal Firewall Plus ????'
