Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\Dn463Qs\attrib.exe "%HOMEPATH%\Favorites\ГАЕ®НјЖ¬..lnk" +R +S "%HOMEPATH%\Favorites\Гв·СµзУ°..lnk" +R +S "%HOMEPATH%\Favorites\Гв·СРЎЛµ..lnk" +R +S "%HOMEPATH%\Favorites\ФЪПЯРЎУОП·..lnk" +R +S "%HOMEPATH%\Favorites\ГїИХРЗЧщФЛКЖ..lnk" +R +S "%HOMEPATH%\Favorites\114la.НшЦ·µјєЅ.url" +R +S "%ALLUSERSPROFILE%\Desktop\Internet. Explorer..lnk" +R +S "%HOMEPATH%\Favorites\hao123.НшЦ·µјєЅ.url" +R +S "%HOMEPATH%\Favorites\МФ±¦№єОп..lnk" +R +S "%HOMEPATH%\Favorites\265.НшЦ·µјєЅ.url" +R +S
- <SYSTEM32>\Dn463Qs\cacls.exe "%HOMEPATH%\Favorites\ГАЕ®НјЖ¬..lnk" /p everyone:R "%HOMEPATH%\Favorites\Гв·СµзУ°..lnk" /p everyone:R "%HOMEPATH%\Favorites\Гв·СРЎЛµ..lnk" /p everyone:R "%HOMEPATH%\Favorites\ФЪПЯРЎУОП·..lnk" /p everyone:R "%HOMEPATH%\Favorites\ГїИХРЗЧщФЛКЖ..lnk" /p everyone:R "%HOMEPATH%\Favorites\114la.НшЦ·µјєЅ.url" /p everyone:R "%ALLUSERSPROFILE%\Desktop\Internet. Explorer..lnk" /p everyone:R "%HOMEPATH%\Favorites\hao123.НшЦ·µјєЅ.url" /p everyone:R "%HOMEPATH%\Favorites\МФ±¦№єОп..lnk" /p everyone:R "%HOMEPATH%\Favorites\265.НшЦ·µјєЅ.url" /p everyone:R
- <SYSTEM32>\cCdh7Ky\Dn463Qs.exe
- C:\1i1kJD3.exe
- <SYSTEM32>\Dn463Qs\cCdh7Ky.exe
Запускает на исполнение:
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://dd#.####bnmzxcvbnm.com:9999/Chinagogogogo.ashx?Ma###############################################################
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\wbem\wmiprvse.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\xzws.ico
- C:\cVWwiH0JJnaqAFm.tmp2
- C:\KXHiyfpmibPB7nR.tmp3
- <SYSTEM32>\xyxs.ico
- C:\cHngaRv6BD6yw51.tmp10
- <SYSTEM32>\ttao.ico
- <SYSTEM32>\dydy.ico
- C:\xEsKFhK.bat
- C:\N123P\ctfmon.exe
- C:\N123P\svchost.exe
- C:\hGKU8QuMNWBGcWk.tmp10
- C:\WoE78Hn7tAvdCxK.tmp4
- C:\01RpDojTQlhhCYu.tmp8
- C:\Orz0egQQFDUlrJu.tmp9
- <SYSTEM32>\Dn463Qs\attrib.exe
- C:\lYuWTJigwFjNIoF.tmp1
- C:\70ngsyZ6f1Jf4hI.tmp2
- <SYSTEM32>\Dn463Qs\cacls.exe
- C:\1i1kJD3.exe
- <SYSTEM32>\Dn463Qs\cCdh7Ky.exe
- <SYSTEM32>\cCdh7Ky\Dn463Qs.exe
- C:\88PcFQbddbubBDX.tmp7
- C:\Tpv3ynjDamFf4iG.tmp8
- C:\J7k3H68FHZfOqSI.tmp9
- C:\Akk5Ds13HBX2IkL.tmp6
- C:\JeFlVaeDNAjDG66.tmp3
- C:\O07RnK1uicWB2Cz.tmp4
- C:\TG4nlMKQ2YmNKcT.tmp5
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Favorites\ГАЕ®НјЖ¬..lnk
- %HOMEPATH%\Favorites\Гв·СµзУ°..lnk
- %HOMEPATH%\Favorites\МФ±¦№єОп..lnk
- %HOMEPATH%\Favorites\ФЪПЯРЎУОП·..lnk
- %HOMEPATH%\Favorites\ГїИХРЗЧщФЛКЖ..lnk
- %HOMEPATH%\Favorites\Гв·СРЎЛµ..lnk
- %ALLUSERSPROFILE%\Desktop\Internet. Explorer..lnk
- <SYSTEM32>\cCdh7Ky\Dn463Qs.exe
- <SYSTEM32>\Dn463Qs\cCdh7Ky.exe
- %HOMEPATH%\Favorites\265.НшЦ·µјєЅ.url
- %HOMEPATH%\Favorites\hao123.НшЦ·µјєЅ.url
- %HOMEPATH%\Favorites\114la.НшЦ·µјєЅ.url
Удаляет следующие файлы:
- C:\Tpv3ynjDamFf4iG.tmp8
- C:\J7k3H68FHZfOqSI.tmp9
- C:\cHngaRv6BD6yw51.tmp10
- C:\70ngsyZ6f1Jf4hI.tmp2
- C:\JeFlVaeDNAjDG66.tmp3
- C:\O07RnK1uicWB2Cz.tmp4
Самоудаляется.
Сетевая активность:
Подключается к:
- 'dd#.###vbnmzxcvbnm.com':9999
- 'localhost':1035
UDP:
- DNS ASK dd#.###vbnmzxcvbnm.com
Другое:
Ищет следующие окна:
- ClassName: '115BR_FRAME' WindowName: ''
- ClassName: '_____TTFrameWnd__101__' WindowName: ''
- ClassName: 'CefBrowserWindow' WindowName: ''
- ClassName: 'OperaWindowClass' WindowName: ''
- ClassName: 'TheWorld_Frame' WindowName: ''
- ClassName: '360se_Frame' WindowName: ''
- ClassName: 'SE_SogouExplorerFrame' WindowName: ''
- ClassName: 'Maxthon2_Frame' WindowName: ''
- ClassName: 'Chrome_WidgetWin_0' WindowName: ''
- ClassName: 'Maxthon3Cls_MainFrm' WindowName: ''
- ClassName: 'ComboBox' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Edit' WindowName: ''
- ClassName: 'ComboBoxEx32' WindowName: ''
- ClassName: 'Address Band Root' WindowName: ''
- ClassName: 'WorkerW' WindowName: ''
- ClassName: 'ReBarWindow32' WindowName: ''
