Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'chengzi' = '%PROGRAM_FILES%\chengzi-1\iechen-1.exe /a'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\chengzisvr] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\chengzi-1\iechen-1.exe' = '%PROGRAM_FILES%\chengzi-1\iechen-1.exe:*:Enabled:іИЧУдЇААЖч'
Создает и запускает на исполнение:
- %PROGRAM_FILES%\chengzi-1\iechen-1.exe /ache
- %TEMP%\nsi6.tmp\ddg_yk.exe /S 0
- %PROGRAM_FILES%\chengzi-1\iechen-1.exe /a
- %PROGRAM_FILES%\chengzi-1\iechensvr-1.exe /install /silent
- %PROGRAM_FILES%\chengzi-1\iechensvr-1.exe
- %TEMP%\nsi6.tmp\ddg_yk.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\sc.exe stop UI0Detect
- <SYSTEM32>\sc.exe config UI0Detect start= disabled
- <SYSTEM32>\cmd.exe /c %TEMP%\_tmp84.bat
- <SYSTEM32>\taskkill.exe /F /im iechen-1.exe
- <SYSTEM32>\taskkill.exe /F /im iechensvr-1.exe
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\іИЧУдЇААЖч\іИЧУдЇААЖч.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\іИЧУдЇААЖч\Р¶ФШіИЧУдЇААЖч.lnk
- %PROGRAM_FILES%\chengzi-1\uninst.exe
- %PROGRAM_FILES%\chengzi-1\images\img_33.gif
- %PROGRAM_FILES%\chengzi-1\images\off3.png
- %HOMEPATH%\AppData\LocalLow\KfeExplorer\Cache\SearchUrls.dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ddgnew[1].exe
- %TEMP%\nsi6.tmp\ddg_yk.exe
- %HOMEPATH%\AppData\LocalLow\KfeExplorer\Cache\TypedURLs.dat
- %TEMP%\_tmp84.bat
- %ALLUSERSPROFILE%\Application Data\chengziie\popset.ini
- %TEMP%\nsc5.tmp
- %TEMP%\nsi6.tmp\uub.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\getid[1].aspx
- %TEMP%\nse2.tmp
- %TEMP%\nsv3.tmp\uub.dll
- %TEMP%\nsi6.tmp\services.dll
- %PROGRAM_FILES%\chengzi-1\images\img_13.gif
- %PROGRAM_FILES%\chengzi-1\images\img_22.gif
- %PROGRAM_FILES%\chengzi-1\WarClock.html
- %PROGRAM_FILES%\chengzi-1\iechen-1.exe
- %PROGRAM_FILES%\chengzi-1\iechensvr-1.exe
Удаляет следующие файлы:
- %TEMP%\nsi6.tmp\uub.dll
- %TEMP%\nsi6.tmp\services.dll
- %TEMP%\nsi6.tmp\ddg_yk.exe
Сетевая активность:
Подключается к:
- 'do##.#oudouguo.com':80
- 'www.ba##u.com':80
- 'do#####d.fenlei80.com':80
TCP:
Запросы HTTP GET:
- do##.#oudouguo.com/http/ddgnew.exe
- do#####d.fenlei80.com/getid.aspx
UDP:
- DNS ASK cj#.##engziie.com
- DNS ASK cl###.chengziie.com
- DNS ASK cl####.chengziie.com
- DNS ASK do##.#oudouguo.com
- DNS ASK ad###.chengziie.com
- DNS ASK do#####d.fenlei80.com
- DNS ASK to####.chengziie.com
- DNS ASK www.ba##u.com
- 'ad###.chengziie.com':4261
- 'cl####.chengziie.com':4092
- 'cj#.##engziie.com':8899
- 'to####.chengziie.com':8731
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
