Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\360inst\360inst_52\360Inst_52.exe' = '%APPDATA%\360inst\360inst_52\360Inst_52.exe:*:Enabled:360安全中心'
Создает и запускает на исполнение:
- %APPDATA%\360inst\360inst_52\360Inst_52.exe /DIR:%HOMEPATH%\Local Settings\Temp|
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\360inst\360inst_52\cab\safe_icon.bmp
- %APPDATA%\360inst\360inst_52\cab\setup.ini
- %APPDATA%\360inst\360inst_52\cab\safe_logo.jpg
- %APPDATA%\360inst\360inst_52\cab\safe_title.JPG
- %TEMP%\3607.tmp360net.dll
- %TEMP%\!@tB48.tmp
- %TEMP%\nsb5.tmp\nsExec.dll
- %TEMP%\nsb5.tmp\ns6.tmp
- %APPDATA%\360inst\360inst_52\cab\IELog.jpg
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\5[1].xml
- %TEMP%\nsu2.tmp\xconfigx.ini
- %TEMP%\nsu2.tmp\System.dll
- %TEMP%\nsu2.tmp\inetc.dll
- %TEMP%\nsb5.tmp\System.dll
- %APPDATA%\360inst\360inst_52\360Inst_52.exe
- %TEMP%\360setup_beta.exe
- %TEMP%\nsw4.tmp
Удаляет следующие файлы:
- %TEMP%\nsu2.tmp\xconfigx.ini
- %TEMP%\!@tB48.tmp
- %TEMP%\nsu2.tmp\inetc.dll
- %TEMP%\nsu2.tmp\System.dll
Сетевая активность:
Подключается к:
- 'pi###.360.cn':80
- 'up####.360safe.com':80
- 'www.kk##56.com':80
- 'localhost':1041
TCP:
Запросы HTTP GET:
- up####.360safe.com/instcomp.htm?so#########################################################################################
- up####.360safe.com/instcomp.htm?so##############################################################################################
- up####.360safe.com/instcomp.htm?so###################################################################################################
- www.kk##56.com/5.xml
- pi###.360.cn/360safebeta/safebeta_home_zz.cab?va#############################################
UDP:
- DNS ASK pi###.360.cn
- DNS ASK up####.360safe.com
- DNS ASK ag#.#.360.cn
- DNS ASK tr.#.360.cn
- DNS ASK st####.sipphone.com
- DNS ASK www.kk##56.com
- DNS ASK st.#.360.cn
- DNS ASK www.pp##34.net
- 'st####.sipphone.com':3478
- 'tr.#.360.cn':80
- 'st.#.360.cn':3478
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
