Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\56WBPdR] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' -r -a -s -h <DRIVERS>\etc\hosts
- '<SYSTEM32>\cacls.exe' <DRIVERS>\etc\hosts /g everyone:r
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\cacls.exe' <DRIVERS>\etc\hosts /g everyone:f
- '<SYSTEM32>\attrib.exe' +r +a +s +h <DRIVERS>\etc\hosts
Скрывает следующие процессы:
- <Полный путь к вирусу>
Изменения в файловой системе:
Создает следующие файлы:
- <DRIVERS>\56WBPdR.sys
- <Текущая директория>\SkinH_EL.dll
- <Текущая директория>\skin.she
- %WINDIR%\QQ.exe
- %TEMP%\1eb74.tmp
- %TEMP%\1f028.tmp
- %TEMP%\1f440.tmp
Удаляет следующие файлы:
- %TEMP%\1f440.tmp
- <DRIVERS>\56WBPdR.sys
- %TEMP%\1eb74.tmp
- %TEMP%\1f028.tmp
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'xb#.#9fe.com':80
- 'xb#.#ttx.com':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- xb#.#ttx.com/
- xb#.#9fe.com/
- xb#.#ttx.com/ad.html
- xb#.#ttx.com/java
UDP:
- DNS ASK xb#.#9fe.com
- DNS ASK xb#.#ttx.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
