Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\ie-fav.exe'
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\Google" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\Google" /v "DisplayName" /d "Google" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\Baidu" /v "URL" /d "http://www.ba##u.com/s?wd############################" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\Baidu" /v "Codepage" /t REG_DWORD /d "0x000003a8" /f
- '<SYSTEM32>\reg.exe' export "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders" %WINDIR%\TEMP\fav.reg
- '<SYSTEM32>\find.exe' /i "Favorites" %WINDIR%\TEMP\fav.reg
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\Google" /v "URL" /d "http://www.go##le.cn/search?cl#########################################" /f
- '<SYSTEM32>\find.exe' "Microsoft Windows XP "
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\Baidu" /v "DisplayName" /d "░┘╢╚" /f
- '<SYSTEM32>\find.exe' "www.ba##u.com" /i %WINDIR%\TEMP\shouye.reg
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.ka##848.com" /f
- '<SYSTEM32>\reg.exe' export "HKCU\Software\Microsoft\Internet Explorer\Main" %WINDIR%\TEMP\shouye.reg
- '<SYSTEM32>\find.exe' "www.ha##23.com" /i %WINDIR%\TEMP\shouye.reg
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\SearchScopes" /v "DefaultScope" /d "Baidu" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\Baidu" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "First Home Page" /d "http://www.ka##848.com" /f
- '<SYSTEM32>\reg.exe' delete "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Secondary Start Pages" /f
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\fav.reg
- %WINDIR%\Temp\null
- %HOMEPATH%\Favorites\百度.url
- %HOMEPATH%\Favorites\谷歌.url
- %HOMEPATH%\Favorites\网址大全.url
- %WINDIR%\Temp\shouye.reg
- %TEMP%\RarSFX0\网址大全.url
- %TEMP%\RarSFX0\ie-fav.exe
- %TEMP%\RarSFX0\百度.url
- %TEMP%\~1.bat
- %TEMP%\RarSFX0\谷歌.url
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\~1.bat
Удаляет следующие файлы:
- %TEMP%\RarSFX0\百度.url
- %TEMP%\RarSFX0\网址大全.url
- %TEMP%\RarSFX0\谷歌.url
- %TEMP%\RarSFX0\ie-fav.exe
- %WINDIR%\Temp\shouye.reg
- %WINDIR%\Temp\fav.reg
- %TEMP%\~1.bat
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
