Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\byftp.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\°ЩУЕFtp.lnk
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tj[1].asp
- <SYSTEM32>\byftp.exe
- <SYSTEM32>\8uftp.xml
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tj[1].asp
Сетевая активность:
Подключается к:
- 'so##.8u.cn':80
- 'sx##68.cn':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- sx##68.cn/rjgl/bdxlxghs/tj/tj.asp
- sx##68.cn/rjgl/ftp/ftp.txt
Запросы HTTP POST:
- so##.8u.cn/8uftp/chkupdt.asp
UDP:
- DNS ASK so##.8u.cn
- DNS ASK sx##68.cn
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
