Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\Baidu\AddressBar\ASBarBroker.exe -RegServer
- <Текущая директория>\search.exe
- <Текущая директория>\netbar.exe
Запускает на исполнение:
- <SYSTEM32>\svchost.exe -k HTTPFilter
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\url.xml
- %PROGRAM_FILES%\Baidu\AddressBar\AddressBar_Tmp\AddressBar.dll
- %WINDIR%\set_tmp.ini
- %PROGRAM_FILES%\Baidu\AddressBar\ASBarBroker.exe
- %PROGRAM_FILES%\Baidu\AddressBar\AddressBar.dll
- %TEMP%\hftgd.text
- %TEMP%\nsy2.tmp
- <Текущая директория>\KPath.dll
- <Текущая директория>\100GameAgent.dll
- <Текущая директория>\client.ini
- <Текущая директория>\search.exe
- <Текущая директория>\netbar.exe
- %WINDIR%\urlmatch.xml
Удаляет следующие файлы:
- %WINDIR%\set_tmp.ini
Сетевая активность:
Подключается к:
- 'do####l.jiajiaee.cn':80
- 'wd###.jiajiaee.cn':80
TCP:
Запросы HTTP GET:
- do####l.jiajiaee.cn/iepop/list/kbset.ini
- wd###.jiajiaee.cn/keys/list/urlmatch.xml
UDP:
- DNS ASK ns.##-lm.com
- DNS ASK do####l.jiajiaee.cn
- DNS ASK wd###.jiajiaee.cn
- 'ns.##-lm.com':9900
Другое:
Ищет следующие окна:
- ClassName: 'WorkerA' WindowName: ''
- ClassName: 'WorkerW' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Progman' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
