Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Kanbox' = '"%APPDATA%\Kanbox Network\Kanbox\bin\Kanbox.exe" flashsync_auto_startup'
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\ТжГЛІЩЕМКЦ.lnk
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ImageOpt] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\gins.exe /p-90911/s-9782/leoaedo
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe /s "%APPDATA%\Kanbox Network\Kanbox\shellext\SyncStateExt.dll"
- <SYSTEM32>\regsvr32.exe /s "%APPDATA%\Kanbox Network\Kanbox\bin\KanboxPropSheetExt.dll"
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.em##ey.cn/salesinfo/sales/dcwj/index.html?si###############
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.qq##.info/cjtest/conf.jsp?v=#######################################
- <SYSTEM32>\regsvr32.exe /u /s "%APPDATA%\Kanbox Network\Kanbox\bin\KanboxPropSheetExt.dll"
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnZoneCrossing' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Kanbox Network\Kanbox\bin\msvcp90.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\msvcr90.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\msvcm90.dll
- %PROGRAM_FILES%\ymLevel2_Taste\UNWISE.INI
- %APPDATA%\Kanbox Network\Kanbox\bin\Microsoft.VC90.CRT.manifest
- %APPDATA%\Kanbox Network\Kanbox\bin\zlib1.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\UserDirectory.ico
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\about.png
- %APPDATA%\Kanbox Network\Kanbox\bin\CrashReporter.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\rpt.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\CrashReporterSilent.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\conf[1].jsp
- %APPDATA%\Kanbox Network\Kanbox\bin\sys_mon.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\token_id.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\netproxy.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\down_surf.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\mg.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\p2sp_manager.dll
- %HOMEPATH%\Start Menu\Programs\ТжГЛИнјю\ТжГЛІЩЕМКЦ\Р¶ФШТжГЛІЩЕМКЦ.lnk
- %APPDATA%\Kanbox Network\Kanbox\bin\syncbox.dll
- %HOMEPATH%\Desktop\ТжГЛІЩЕМКЦ.lnk
- %APPDATA%\Kanbox Network\Kanbox\bin\stat.dll
- %HOMEPATH%\Start Menu\Programs\ТжГЛИнјю\ТжГЛІЩЕМКЦ\ТжГЛІЩЕМКЦ.lnk
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\after_login.png
- %APPDATA%\Kanbox Network\Kanbox\shellext\SyncStatOverlays\icons\errors1.ico
- %APPDATA%\Kanbox Network\Kanbox\shellext\SyncStatOverlays\icons\ignore1.ico
- %APPDATA%\Kanbox Network\Kanbox\bin\Locales\zh-CN.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_6.png
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\taskbar_notify.png
- %APPDATA%\Kanbox Network\Kanbox\shellext\SyncStatOverlays\icons\synced1.ico
- %APPDATA%\Kanbox Network\Kanbox\bin\KanboxPropSheetExt.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\index[1].html
- %PROGRAM_FILES%\ymLevel2_Taste\INSTALL.LOG
- %APPDATA%\Kanbox Network\Kanbox\shellext\SyncStatOverlays\icons\syncing1.ico
- %APPDATA%\Kanbox Network\Kanbox\shellext\SyncStateExt.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_5.png
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\login.png
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\menu-icon.png
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\finishex.png
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\before_login.png
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\btn_bg.bmp
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\package.png
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_3.png
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_4.png
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_2.png
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\register.png
- %APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_1.png
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH000f.TMP
- %TEMP%\nsg6.tmp\ad.bmp
- %TEMP%\nsg6.tmp\left.bmp
- %TEMP%\djhist.log
- %TEMP%\djruncon.log
- %TEMP%\nsg6.tmp\System.dll
- %TEMP%\GLC8.tmp
- %TEMP%\nsg6.tmp\license.rtf
- %TEMP%\nsh3.tmp\update.ini
- %TEMP%\nsh3.tmp\update.bmp
- %TEMP%\nsg6.tmp\io3.ini
- %TEMP%\nsg6.tmp\licenseDNA.rtf
- %TEMP%\GLB7.tmp
- %TEMP%\ca87\stpcfgf.pdf
- %TEMP%\ca87\wl0421290.EXE
- <SYSTEM32>\JeepImage.sys
- %TEMP%\ca87\Kanbox_10040.exe
- <SYSTEM32>\gins.exe
- %TEMP%\ca87\LavaGame_2.2_2051.exe
- %TEMP%\nsv5.tmp
- %TEMP%\nsg6.tmp\djcomm.dll
- %TEMP%\nsh3.tmp\ProcDll.dll
- %TEMP%\ca87\winRun.exe
- %TEMP%\nsc2.tmp
- %TEMP%\nsh3.tmp\google.ini
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH0009.TMP
- %APPDATA%\Kanbox Network\Kanbox\bin\disk_cache.dll
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH0007.TMP
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH0006.TMP
- %APPDATA%\Kanbox Network\Kanbox\bin\LiveUpdater.exe
- %APPDATA%\Kanbox Network\Kanbox\bin\Kanbox.exe
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH000d.TMP
- %APPDATA%\Kanbox Network\Kanbox\bin\job_dispatcher.dll
- %APPDATA%\Kanbox Network\Kanbox\bin\framework.dll
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH000b.TMP
- %TEMP%\nsg6.tmp\dnaSetup.dsi
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH0004.TMP
- %TEMP%\GLKA.tmp
- %TEMP%\GLGC.tmp
- %TEMP%\nsg6.tmp\NSISdl.dll
- %TEMP%\nsh3.tmp\GetVersion.dll
- %TEMP%\GLJ9.tmp
- %TEMP%\~GLH0000.TMP
- %PROGRAM_FILES%\ymLevel2_Taste\temp.000
- %APPDATA%\Kanbox Network\Kanbox\bin\auctl.dll
- %TEMP%\nsh3.tmp\System.dll
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH0001.TMP
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH0002.TMP
Удаляет следующие файлы:
- %TEMP%\GLJ9.tmp
- %TEMP%\GLKA.tmp
- %TEMP%\GLGC.tmp
- %TEMP%\GLB7.tmp
- %TEMP%\GLC8.tmp
- %TEMP%\GLFD.tmp
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH0007.TMP
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH0004.TMP
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH0002.TMP
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH000d.TMP
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH000b.TMP
- %PROGRAM_FILES%\ymLevel2_Taste\~GLH0009.TMP
Сетевая активность:
Подключается к:
- 'localhost':1039
- 'www.em##ey.cn':80
- 'st##.kanbox.com':80
- 'do####ad.lava.cn':80
- 'localhost':1037
- 'www.qq##.info':80
TCP:
Запросы HTTP GET:
- www.em##ey.cn/salesinfo/sales/dcwj/index.html?si###############
- www.qq##.info/cjtest/conf.jsp?v=#######################################
- do####ad.lava.cn/GAME/dnas715.dsi
Запросы HTTP POST:
- st##.kanbox.com/
UDP:
- DNS ASK www.em##ey.cn
- DNS ASK st##.kanbox.com
- DNS ASK do####ad.lava.cn
- DNS ASK www.qq##.info
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'FlashSyncWindow_{5357B3B3-D539-431a-9634-AEABEFD4E66A}' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: 'Run'
- ClassName: '' WindowName: ''
