Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- C:\mMWcjxN.exe
- <SYSTEM32>\6eYYg5l\W8jtuhw.exe
- <SYSTEM32>\W8jtuhw\6eYYg5l.exe
- <Текущая директория>\cpa4.exe
- <Текущая директория>\cpa1.exe
- <Текущая директория>\cpa2.exe
- <Текущая директория>\cpa3.exe
Запускает на исполнение:
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://dd#.####bnmzxcvbnm.com:9999/Chinagogogogo.ashx?Ma###############################################################
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- C:\pdv40eFbMAt2IGX.tmp4
- C:\WALTAgl0WcR45A5.tmp5
- C:\df7Bfe0N6ZOSMs5.tmp6
- C:\TI54Lt0nRTfsZnA.tmp3
- <SYSTEM32>\6eYYg5l\attrib.exe
- C:\CYiv5NKJMlejrGL.tmp1
- C:\YdSnY8qQ7zUO8Ob.tmp2
- C:\VXcTrU1t07lQqFJ.tmp7
- <SYSTEM32>\dydy.ico
- <SYSTEM32>\xyxs.ico
- <SYSTEM32>\xzws.ico
- <SYSTEM32>\ttao.ico
- C:\PV1eI5vqBtnIsGe.tmp8
- C:\trBqEfuhhiDSDA1.tmp9
- C:\xLpX0gWmaJovxsu.tmp10
- <SYSTEM32>\mn.dll
- <SYSTEM32>\deleteinstaller.txt
- C:\mMWcjxN.exe
- <Текущая директория>\cpa4.exe
- <Текущая директория>\cpa1.exe
- <Текущая директория>\cpa2.exe
- <Текущая директория>\cpa3.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\qqxuanwuwg[1]
- <SYSTEM32>\W8jtuhw\6eYYg5l.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\Ct[1].htm
- <SYSTEM32>\6eYYg5l\cacls.exe
- <SYSTEM32>\6eYYg5l\W8jtuhw.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\At_2[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\ceshi[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\Bt[1].htm
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\cpa4.exe
- <SYSTEM32>\6eYYg5l\W8jtuhw.exe
- <SYSTEM32>\W8jtuhw\6eYYg5l.exe
- <Текущая директория>\cpa1.exe
- <Текущая директория>\cpa2.exe
- <Текущая директория>\cpa3.exe
Удаляет следующие файлы:
- <SYSTEM32>\deleteinstaller.txt
- <Текущая директория>\cpa3.exe
Сетевая активность:
Подключается к:
- 'www.ha##ack.com':80
- 'www.66##.com':80
- 'dd#.###vbnmzxcvbnm.com':9999
- 'localhost':1044
- '11#.#1.173.19':3163
- 'www.qq###nwuwg.com':80
- 'localhost':1034
- 'localhost':1038
- 'localhost':1037
TCP:
Запросы HTTP GET:
- www.ha##ack.com/ceshi.html
- www.66##.com/a2011/V-0722-2.txt
- www.66##.com/Ct.htm
- www.qq###nwuwg.com/
- www.66##.com/At_2.htm
- www.66##.com/Bt.htm
UDP:
- DNS ASK www.ha##ack.com
- DNS ASK dd#.###vbnmzxcvbnm.com
- DNS ASK www.qq###nwuwg.com
- DNS ASK www.66##.com
Другое:
Ищет следующие окна:
- ClassName: 'CefBrowserWindow' WindowName: ''
- ClassName: '115BR_FRAME' WindowName: ''
- ClassName: 'TheWorld_Frame' WindowName: ''
- ClassName: 'ComboBox' WindowName: ''
- ClassName: 'OperaWindowClass' WindowName: ''
- ClassName: '_____TTFrameWnd__101__' WindowName: ''
- ClassName: '360se_Frame' WindowName: ''
- ClassName: 'SE_SogouExplorerFrame' WindowName: ''
- ClassName: 'Maxthon2_Frame' WindowName: ''
- ClassName: 'Chrome_WidgetWin_0' WindowName: ''
- ClassName: 'Maxthon3Cls_MainFrm' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: 'Microsoft Internet Explorer'
- ClassName: '' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Edit' WindowName: ''
- ClassName: 'ComboBoxEx32' WindowName: ''
- ClassName: 'Address Band Root' WindowName: ''
- ClassName: 'WorkerW' WindowName: ''
- ClassName: 'ReBarWindow32' WindowName: ''
