Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'hao123Setting' = '%APPDATA%\baidu\hao123-br\Setting.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\baidu\hao123-br\hao123.1.0.0.1106.exe
- %APPDATA%\baidu\hao123-br\Setting.exe
- %TEMP%\tn-outbrowse_pay_sc_01_hao123_br_hao123inst-brazil.exe
- %APPDATA%\baidu\hao123-br\hao123inst.exe
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Hao123-br\Desinstalar hao123.lnk
- %HOMEPATH%\Start Menu\Programs\Hao123-br\Hao123.lnk
- %HOMEPATH%\Desktop\Hao123.lnk
- %TEMP%\ping.txt
- %TEMP%\nsq2.tmp\NSISdl.dll
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Hao123.lnk
- %APPDATA%\baidu\hao123-br\hao123.1.0.0.1106.exe
- %TEMP%\nsj4.tmp
- %TEMP%\nsq2.tmp\Registry.dll
- %TEMP%\tn-outbrowse_pay_sc_01_hao123_br_hao123inst-brazil.exe
- %TEMP%\bdg5.tmp
- %APPDATA%\baidu\hao123-br\Setting.exe
- %APPDATA%\baidu\hao123-br\hao123inst.exe
Удаляет следующие файлы:
- %TEMP%\nsq2.tmp\Registry.dll
- %TEMP%\nsq2.tmp\NSISdl.dll
- %APPDATA%\baidu\hao123-br\hao123inst.exe
Сетевая активность:
Подключается к:
- 'dl.###ent.baidu.com':80
- 'www.ou###owse.com':80
TCP:
Запросы HTTP GET:
- www.ou###owse.com/installTrack.php?pu#############################################################################
UDP:
- DNS ASK dl.###ent.baidu.com
- DNS ASK www.ou###owse.com
