Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- "%TEMP%\setup_p55.exe" (загружен из сети Интернет)
- "%TEMP%\jm_setup_qvod.exe" (загружен из сети Интернет)
- "%TEMP%\bibibei.exe" (загружен из сети Интернет)
Запускает на исполнение:
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://12#.##.155.219:9091/report3.ashx?m=#################################################################################
- <SYSTEM32>\expand.exe ""%TEMP%\desktop_url.cab"" -F:*.* "%HOMEPATH%\Desktop"
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.38##2.com/bhy.html?po###
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://tc.##816.com/
- <SYSTEM32>\cmd.exe /c """%TEMP%\tmp_ext_favurl_cab.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\run_dws_file.bat"" "
- <SYSTEM32>\expand.exe ""%TEMP%\favorites_url.cab"" -F:*.* "%HOMEPATH%\Favorites"
- <SYSTEM32>\cmd.exe /c """%TEMP%\tmp_ext_deskurl_cab.bat"" "
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\МФ±¦№єОп.url
- %HOMEPATH%\Desktop\Internet Explorer.url
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\bibibei[1].exe
- %HOMEPATH%\Favorites\їґїґµзУ°.url
- %HOMEPATH%\Desktop\°ЛШФЙ«Нј.url
- %HOMEPATH%\Desktop\ГАЕ®АЦФ°.url
- %TEMP%\bibibei.exe
- %TEMP%\jm_setup_qvod.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\setup_p55[1].exe
- %TEMP%\setup_p55.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\tc.58816[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\bhy[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\jm_setup_qvod[1].exe
- %TEMP%\run_dws_file.bat
- %TEMP%\desktop_url.cab
- %TEMP%\favorites_url.cab
- %TEMP%\accm3p_gench.tmp
- %PROGRAM_FILES%\Lenovo\inchar32.dat
- %TEMP%\ins1.tmp
- %TEMP%\tmp_ext_favurl_cab.bat
- %HOMEPATH%\Favorites\ґґТµН¶ЧКєГПоДї.url
- %HOMEPATH%\Favorites\ГАЕ®АЦФ°.url
- %HOMEPATH%\Favorites\°Щ№ИµзУ°.url
- %TEMP%\tmp_ext_deskurl_cab.bat
- %APPDATA%\rar.skin.ini
- %HOMEPATH%\Favorites\°ЛШФЙ«Нј.url
Удаляет следующие файлы:
- %TEMP%\ins1.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'tc.##816.com':80
- '12#.#4.155.219':9091
- 'www.38##2.com':80
- 'ex#.6gg.cn':80
- 'qk###an.6gg.cn':80
- 'www.xu###i100.com':80
- 'localhost':1035
- 'localhost':1037
- 'localhost':1039
- 'localhost':1038
TCP:
Запросы HTTP GET:
- qk###an.6gg.cn/jm_setup_qvod.exe
- ex#.6gg.cn/setup_p55.exe
- www.38##2.com/bhy.html?po###
- www.xu###i100.com/msn/software/partner/w/bibibei.exe
- tc.##816.com/
UDP:
- DNS ASK qk###an.6gg.cn
- DNS ASK ex#.6gg.cn
- DNS ASK www.38##2.com
- DNS ASK www.xu###i100.com
- DNS ASK tc.##816.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
