Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'dxshipin' = '%PROGRAM_FILES%\duoxiu\89344\Duoshow.exe -hide'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'dxabb' = '%PROGRAM_FILES%\duoxiu\89344\Rshowpp.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\duoxiu\89344\rshowpp.exe'
- '%PROGRAM_FILES%\duoxiu\89344\Duoshow.exe' -hide
- '%TEMP%\RarSFX0\doshow_1_8572.exe' /I
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\¶аРгКУЖµ.lnk
- %HOMEPATH%\Desktop\Internet Hao123.lnk
- %HOMEPATH%\Desktop\Гв·СµзУ°.lnk
- %HOMEPATH%\Desktop\МФ±¦МШВф.lnk
- %APPDATA%\duoxiu\МФ±¦·µАыНш.ico
- %APPDATA%\duoxiu\Гв·СµзУ°.ico
- %PROGRAM_FILES%\duoxiu\89344\data\user2.ini
- %APPDATA%\duoxiu\МФ±¦МШВф.ico
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\config[1].txt
- %TEMP%\nsk3.tmp\duoxiu.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\mini_news[1].html
- %PROGRAM_FILES%\duoxiu\89344\config.ini
- %HOMEPATH%\Start Menu\Programs\¶аРгКУЖµ\¶аРгКУЖµ.lnk
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\¶аРгКУЖµ.lnk
- %PROGRAM_FILES%\duoxiu\89344\Unins.exe
- %HOMEPATH%\Start Menu\Programs\¶аРгКУЖµ\Р¶ФШ.lnk
- %PROGRAM_FILES%\duoxiu\89344\rshowpp.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kb[1].ashx
- %TEMP%\nsk3.tmp\inetc.dll
- %TEMP%\nsk3.tmp\unicode.dll
- %TEMP%\nsk3.tmp\bindplugin.ini
- %TEMP%\nsp2.tmp
- %TEMP%\RarSFX0\doshow_1_8572.exe
- %TEMP%\nsk3.tmp\NotifyIcon.dll
- %TEMP%\nsk3.tmp\System.dll
- %PROGRAM_FILES%\duoxiu\89344\config2.ini
- %PROGRAM_FILES%\duoxiu\89344\config.db
- %PROGRAM_FILES%\duoxiu\89344\lobby.ini
- %PROGRAM_FILES%\duoxiu\89344\duoshowui.dll
- %PROGRAM_FILES%\duoxiu\89344\Duoshow.exe
- %TEMP%\nsk3.tmp\KillProcDLL.dll
- %PROGRAM_FILES%\duoxiu\89344\chat.xml
- %PROGRAM_FILES%\duoxiu\89344\Guest.db
Удаляет следующие файлы:
- %TEMP%\nsk3.tmp\unicode.dll
- %TEMP%\nsk3.tmp\System.dll
- %PROGRAM_FILES%\duoxiu\89344\config.ini
- %TEMP%\RarSFX0\doshow_1_8572.exe
- %TEMP%\nsk3.tmp\NotifyIcon.dll
- %TEMP%\nsk3.tmp\duoxiu.dll
- %TEMP%\nsk3.tmp\bindplugin.ini
- %TEMP%\nsk3.tmp\KillProcDLL.dll
- %TEMP%\nsk3.tmp\inetc.dll
Сетевая активность:
Подключается к:
- 'localhost':1043
- 'h.##yyw.com':80
- 'localhost':1047
- 'kb.#bhf.net':80
- 'www.nb##.net':83
- 'u.##yyw.com':80
TCP:
Запросы HTTP GET:
- h.##yyw.com/link1.dat
- h.##yyw.com/ad/mini_news.html
- kb.#bhf.net/kb.ashx?pa########################
- u.##yyw.com/du/config.txt
UDP:
- DNS ASK u.##yyw.com
- DNS ASK h.##yyw.com
- DNS ASK kb.#bhf.net
- DNS ASK www.nb##.net
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
