Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'happytv' = '%PROGRAM_FILES%\NetTV\NetTV.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'NetTVUpdate' = '%ALLUSERSPROFILE%\Documents\NetTVUpdate.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\NetTV\NetTV.exe'
Запускает на исполнение:
- '<SYSTEM32>\ntvdm.exe' -f -i1
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\µзУ°.url
- %HOMEPATH%\Desktop\УОП·.url
- %HOMEPATH%\Favorites\МФ±¦.url
- %HOMEPATH%\Favorites\°Щ¶И.url
- %HOMEPATH%\Favorites\Google.url
- %WINDIR%\Temp\scs2.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\r[1].html
- %WINDIR%\Temp\scs1.tmp
- %HOMEPATH%\Favorites\µзУ°.url
- %HOMEPATH%\Favorites\УОП·.url
- %HOMEPATH%\Desktop\happytv.lnk
- %ALLUSERSPROFILE%\Documents\NetTVUpdate.exe
- %PROGRAM_FILES%\NetTV\°Щ¶И.ico
- %ALLUSERSPROFILE%\Documents\Backup.bak
- %PROGRAM_FILES%\NetTV\NetTV.exe
- %CommonProgramFiles%\ppstr.exe
- %PROGRAM_FILES%\NetTV\УОП·.ico
- %PROGRAM_FILES%\NetTV\IE.ico
- %PROGRAM_FILES%\NetTV\МФ±¦.ico
- %PROGRAM_FILES%\NetTV\µзУ°.ico
- %PROGRAM_FILES%\NetTV\Google.ico
Удаляет следующие файлы:
- %PROGRAM_FILES%\NetTV\УОП·.ico.tmp
- %PROGRAM_FILES%\NetTV\УОП·.ico
- <SYSTEM32>\PerfStringBackup.TMP
- %PROGRAM_FILES%\NetTV\IE.ico
- %WINDIR%\Temp\scs2.tmp
- %WINDIR%\Temp\scs1.tmp
- %PROGRAM_FILES%\NetTV\IE.ico.tmp
- %PROGRAM_FILES%\NetTV\МФ±¦.ico.tmp
- %PROGRAM_FILES%\NetTV\µзУ°.ico
- %PROGRAM_FILES%\NetTV\°Щ¶И.ico.tmp
- %PROGRAM_FILES%\NetTV\°Щ¶И.ico
- %PROGRAM_FILES%\NetTV\µзУ°.ico.tmp
- %PROGRAM_FILES%\NetTV\МФ±¦.ico
- %PROGRAM_FILES%\NetTV\Google.ico.tmp
- %PROGRAM_FILES%\NetTV\Google.ico
Сетевая активность:
Подключается к:
- 'bf#.#000dh.cn':80
- 'xz#.#333dh.cn':8366
- 'localhost':1037
TCP:
Запросы HTTP GET:
- bf#.#000dh.cn/r.html?ni
UDP:
- DNS ASK bf#.#000dh.cn
- DNS ASK xz#.#333dh.cn
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-b34.b38.380001'
- ClassName: 'Progman' WindowName: '(null)'
- ClassName: 'SHELLDLL_DefView' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
