Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1792882 "__IRAFN:<Полный путь к вирусу>" "__IRCT:0" "__IRTSS:0" "__IRSID:S-1-5-21-2832440558-3064306045-1455513625-1000"
Запускает на исполнение:
- '<SYSTEM32>\PING.EXE' 0x82c ping.exe
- '<SYSTEM32>\PING.EXE' 0x250 ping.exe
- '<SYSTEM32>\PING.EXE' /pid=0xa98 /log
- '<SYSTEM32>\PING.EXE' /pid=0xb44 /log
- '<SYSTEM32>\PING.EXE' 0xa98 ping.exe
- '<SYSTEM32>\PING.EXE' 0x7d0 ping.exe
- '<SYSTEM32>\PING.EXE' 0x5d4 ping.exe
- '<SYSTEM32>\DllHost.exe' 127.0.1 /n 1
- '<SYSTEM32>\PING.EXE' 0xbc4 ping.exe
- '<SYSTEM32>\PING.EXE' 0xa70 ping.exe
- '<SYSTEM32>\PING.EXE' 0xb44 ping.exe
- '<SYSTEM32>\PING.EXE' 0x55c ping.exe
- '<SYSTEM32>\PING.EXE' /pid=0xe98 /log
- '<SYSTEM32>\PING.EXE' /pid=0xbc8 /log
- '<SYSTEM32>\wbem\wmiprvse.exe' 127.0.1 /n 1
- '<SYSTEM32>\PING.EXE' 0x914 ping.exe
- '<SYSTEM32>\PING.EXE' 0x950 ping.exe
- '<SYSTEM32>\wbem\wmiprvse.exe' 0xa98 ping.exe
- '<SYSTEM32>\PING.EXE' /pid=0xed0 /log
- '<SYSTEM32>\PING.EXE' /pid=0xbe4 /log
- '<SYSTEM32>\mshta.exe' 127.0.1 /n 1
- '<SYSTEM32>\PING.EXE' /pid=0xaac /log
- '<SYSTEM32>\PING.EXE' /pid=0x8a4 /log
- '<SYSTEM32>\PING.EXE' /pid=0xa00 /log
- '<SYSTEM32>\DllHost.exe' 0xa10 ping.exe
- '<SYSTEM32>\PING.EXE' /pid=0xb5c /log
- '<SYSTEM32>\PING.EXE' /pid=0xac0 /log
- '<SYSTEM32>\PING.EXE' /pid=0xad4 /log
- '<SYSTEM32>\PING.EXE' 0xac0 ping.exe
- '<SYSTEM32>\mshta.exe' vbscript:createobject("wscript.shell").run("%WINDIR%\Web\uninst.bat h",0)(window.close)
- '<SYSTEM32>\WScript.exe' "%WINDIR%\Web\Error.wsh"
- '<SYSTEM32>\PING.EXE' 127.0.1 /n 1
- '<SYSTEM32>\conhost.exe' 127.0.1 /n 1
- '<SYSTEM32>\PING.EXE' /pid=0x7d0 /log
- '<SYSTEM32>\PING.EXE' 0xfc8 ping.exe
- '<SYSTEM32>\PING.EXE' /pid=0x7ac /log
- '<SYSTEM32>\PING.EXE' 0xbdc ping.exe
- '<SYSTEM32>\wbem\wmiprvse.exe' 0x6d4 ping.exe
- '<SYSTEM32>\PING.EXE' 0x25c ping.exe
- '<SYSTEM32>\PING.EXE' 0xe90 ping.exe
- '<SYSTEM32>\PING.EXE' /pid=0xb38 /log
- '<SYSTEM32>\PING.EXE' /pid=0x950 /log
- '<SYSTEM32>\PING.EXE' 0x6dc ping.exe
- '<SYSTEM32>\PING.EXE' 0xae4 ping.exe
- '<SYSTEM32>\PING.EXE' /pid=0xae4 /log
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Web\uninst.bat
- %WINDIR%\Web\Error.wsh
- %APPDATA%\Roaming\Microsoft\Windows\Start Menu\Programs\Your Product\uninst.lnk
- <Служебный элемент>
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\error[1]
- %WINDIR%\Web\Error.vbs
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\_ir_sf_temp_0\IRIMG2.JPG
- %TEMP%\_ir_sf_temp_0\IRIMG1.JPG
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Web\uninst.bat
- %WINDIR%\Web\Error.wsh
- %WINDIR%\Web\Error.vbs
Удаляет следующие файлы:
- %TEMP%\_ir_sf_temp_0\irsetup.dat
Сетевая активность:
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK dl##.#r.baidu.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
