Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\Program Files\Happygame\pic\is-URN5O.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\images\is-CA3TS.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-TOPNC.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-4S5S6.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-JLQ2Q.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\images\is-OFS0H.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\images\is-3F3T3.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\images\is-6CA91.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\images\is-4JA9L.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\images\is-LQ28A.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\images\is-B7HHN.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-OI0QA.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-M31AQ.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-GKJ10.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\unins000.dat
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-5OU0K.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-3DOVP.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-UJE3U.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-REQSE.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-TT98L.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-E53CK.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\Skins\is-MJVSE.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-U0A0K.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-D712H.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-R7DF8.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-TVOS8.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-EMOHN.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-G97HV.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-U80GE.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-KLNBD.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-5OHFQ.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-RKULG.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-F2UC2.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\is-9A2FO.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\is-2VBQQ.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\images\is-0MD7N.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\images\is-A28TL.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\images\is-8TABR.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\is-P0OKM.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\flash\is-V5EOD.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\is-R0F88.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\is-R22ED.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\is-5RK3M.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\pcgame\localpage\is-PGRMO.tmp
Вредоносные функции:
Создает и запускает на исполнение:
- C:\Toolbar.exe
- %PROGRAM_FILES%\Baidu\Toolbar\BarBroker.exe -RegServer
- C:\soft.exe
- C:\hahagamesss2.exe /sp- /silent /norestart
- C:\Baidu-Toolbar.exe
Запускает на исполнение:
- <SYSTEM32>\wscript.exe "C:\haha.vbs"
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://ww##.1234.la/an.htm?77##
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.52##60.com
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\屏蔽列表.url
- %ALLUSERSPROFILE%\Desktop\№ю№юУОП·єР.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\帮助指南.url
- %ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\伴侣导航.url
- %ALLUSERSPROFILE%\Start Menu\Programs\№ю№юУОП·єР\Р¶ФШ №ю№юУОП·єР.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\№ю№юУОП·єР\№ю№юУОП·єР НшХѕ.url
- %PROGRAM_FILES%\Baidu\Toolbar\rc.dll
- %PROGRAM_FILES%\Baidu\Toolbar\BarBroker.exe
- %ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\广告拦截.url
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\520560[1]
- %ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\自定义按钮.url
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\an[1].htm
- %ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\卸载百度工具栏.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\修复功能.url
- %ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\垃圾清理.url
- %ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\个性化首页.url
- %ALLUSERSPROFILE%\Start Menu\Programs\百度工具栏\隐私保护.url
- C:\soft.exe
- %TEMP%\aut3.tmp
- C:\Toolbar.exe
- %TEMP%\is-9MQ84.tmp\hahagamesss2.tmp
- C:\hahagamesss2.exe
- %TEMP%\aut1.tmp
- C:\Baidu-Toolbar.exe
- %TEMP%\aut2.tmp
- C:\haha.vbs
- %PROGRAM_FILES%\Baidu\Toolbar\BaiduBarX_Tmp\BarBroker.exe
- %PROGRAM_FILES%\Baidu\Toolbar\BaiduBarX_Tmp\rc.dll
- %ALLUSERSPROFILE%\Start Menu\Programs\№ю№юУОП·єР\№ю№юУОП·єР.lnk
- %PROGRAM_FILES%\Baidu\Toolbar\BaiduBarX.dll
- %TEMP%\is-T4ETR.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-T4ETR.tmp\_isetup\_RegDLL.tmp
- %PROGRAM_FILES%\Baidu\Toolbar\BaiduBarX_Tmp\BaiduBarX.dll
- %TEMP%\nsy6.tmp
Удаляет следующие файлы:
- %TEMP%\is-T4ETR.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-T4ETR.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-9MQ84.tmp\hahagamesss2.tmp
- <Имя диска съемного носителя>:\Program Files\Happygame\GameClient.exe
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut3.tmp
Сетевая активность:
Подключается к:
- 'www.52##60.com':80
- 'ww##.1234.la':80
- 'www.**#.com':80
- 'www.ea##iant.cn':80
- 'localhost':1038
- 'localhost':1039
TCP:
Запросы HTTP GET:
- ww##.1234.la/an.htm?77##
- www.52##60.com/
- www.ea##iant.cn/xia.txt
Запросы HTTP POST:
- www.**#.com/***/clcount/ip.asp?ac#######################################################################################################################
UDP:
- DNS ASK ww##.1234.la
- DNS ASK www.**#.com
- DNS ASK www.ea##iant.cn
- DNS ASK www.52##60.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
