Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\zhcfz] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SENSMGR] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\Messenger\TBSetup(-33554378).exe'
- '%TEMP%\Messenger\setup_102728.exe'
- '<SYSTEM32>\wzcgm.exe'
- '%TEMP%\Messenger\setup.exe' <Имя вируса>
- '<SYSTEM32>\wzcgm.exe' /service
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\KzZb6q.bat
- '<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\zzToolBar\ToolBand.dll"
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\rundll32.exe' "%WINDIR%\xcfkr.dll",DllCanUnloadNow
- '<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\zzToolBar\Toolbar_bho.dll"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\_uninsep.bat" "
- '<SYSTEM32>\net1.exe' start SENSMGR
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\9yPQn8.dll,DllUnregisterServer
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\9yPQn8.dll,DllRegisterServer
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\zzToolBar\SearchEngineConfig
- <SYSTEM32>\KzZb6q.bat
- %PROGRAM_FILES%\zzToolBar\IP.dat
- %PROGRAM_FILES%\zzToolBar\ToolBand.dll
- %PROGRAM_FILES%\zzToolBar\Toolbar_bho.dll
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\LBMMC3H3\index[1].htm
- %WINDIR%\Temp\kbietmp2.ini
- %PROGRAM_FILES%\zzToolBar\Uninstall.exe
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\update[1].htm
- %WINDIR%\Temp\zglsc.ini
- %TEMP%\nse3.tmp\Processes.dll
- %TEMP%\Messenger\setup_102728.exe
- %TEMP%\Messenger\sysmain.dat
- %TEMP%\Messenger\setup.exe
- %TEMP%\Messenger\TBSetup(-33554378).exe
- %TEMP%\Messenger\nvsys.ini
- <SYSTEM32>\9yPQn8.dll
- <DRIVERS>\zhcfz.sys
- %TEMP%\_uninsep.bat
- %TEMP%\Messenger\sysvc.dat
- %WINDIR%\mssrcid.ini
Удаляет следующие файлы:
- %TEMP%\Messenger\setup_102728.exe
- %TEMP%\nse3.tmp\Processes.dll
- %TEMP%\Messenger\setup.exe
Перемещает следующие файлы:
- %TEMP%\Messenger\sysmain.dat в %WINDIR%\xcfkr.dll
- %TEMP%\Messenger\nvsys.ini в <SYSTEM32>\yeiow.ini
- %TEMP%\Messenger\sysvc.dat в <SYSTEM32>\wzcgm.exe
Сетевая активность:
Подключается к:
- 'd.###inn.com':80
TCP:
Запросы HTTP GET:
- d.###inn.com/myconfig/index.htm
- d.###inn.com/up/update.htm
UDP:
- DNS ASK www.ou##ang.cn
- DNS ASK d.###inn.com
Другое:
Ищет следующие окна:
- ClassName: '{F03B79CC-5B19-4D71-9EDD-FFDD44B441BF}' WindowName: '{F03B79CC-5B19-4D71-9EDD-FFDD44B441BF}'
- ClassName: 'AUTOLIVE_CLASS_6B95EFA3-F8EB-4112-8BF1-88470330EB61' WindowName: 'AUTOLIVE_WND_6B95EFA3-F8EB-4112-8BF1-88470330EB61'
- ClassName: '(null)' WindowName: 'Shell_TrayWnd'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
