Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\oobe\oobejein.exe,'
Вредоносные функции:
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: <SYSTEM32>\confmrsjeinl.dll
Изменения в файловой системе:
Создает следующие файлы:
- C:\chkdsjein.dll
- %TEMP%\1642343_jein.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\vision[1].htm
- C:\LPK.dll
- %TEMP%\1641872_jein.tmp
- %WINDIR%\AppPatch\appjeinh_sp.sdb
- <SYSTEM32>\oobe\oobejein.exe
- %TEMP%\1640151_jein.tmp
- %TEMP%\16321813_res.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\icwutieinll.dll
- <SYSTEM32>\dllcache\dllwindowsjein.dll
- %WINDIR%\AppPatch\appjeinh_sp.db
- <SYSTEM32>\confmrsjeinl.dll
Удаляет следующие файлы:
- C:\LPK.dll
- C:\chkdsjein.dll
Перемещает следующие файлы:
- %TEMP%\1641872_jein.tmp в <SYSTEM32>\icwutieinll.dll
- %TEMP%\1642343_jein.tmp в <SYSTEM32>\dllcache\dllwindowsjein.dll
- %TEMP%\16321813_res.tmp в %WINDIR%\AppPatch\appjeinh_sp.db
- %TEMP%\1640151_jein.tmp в <SYSTEM32>\confmrsjeinl.dll
Самоудаляется.
Сетевая активность:
Подключается к:
- 'www.wm#q.cn':80
- 'zj####c.3322.org':1080
TCP:
Запросы HTTP GET:
- www.wm#q.cn/vision.htm
UDP:
- DNS ASK www.wm#q.cn
- DNS ASK zj####c.3322.org
Другое:
Ищет следующие окна:
- ClassName: 'XYElementClient Window' WindowName: ''
