Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\IQIYIsetup_senxing@kb010.exe' (загружен из сети Интернет)
- '%TEMP%\1332280.exe' (загружен из сети Интернет)
- '%TEMP%\Browser_V5.5.7852.9_r_4640_(Build1512022057).exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /C copy /b "%TEMP%\XMPSetupLite-SIxcjy.exe" + "%WINDIR%\Fonts\CAMBRIA.TTC" "%TEMP%\XMPSetupLite-SIxcjy.exe"
- '%TEMP%\IQIYIsetup_senxing@kb010.exe'
- '<SYSTEM32>\cmd.exe' /C copy /b "%TEMP%\KeLe2014Beta3.6.2Promote0714_20090195130.exe" + "%WINDIR%\Fonts\CAMBRIA.TTC" "%TEMP%\KeLe2014Beta3.6.2Promote0714_20090195130.exe"
- '<SYSTEM32>\cmd.exe' /C copy /b "%TEMP%\mvc_tst.exe" + "%WINDIR%\Fonts\CAMBRIA.TTC" "%TEMP%\mvc_tst.exe"
- '%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' -nohome
- '%TEMP%\Browser_V5.5.7852.9_r_4640_(Build1512022057).exe'
- '<SYSTEM32>\cmd.exe' /C copy /b "%TEMP%\install1078565.exe" + "%WINDIR%\Fonts\CAMBRIA.TTC" "%TEMP%\install1078565.exe"
- '%TEMP%\1332280.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsg2.tmp\ZipDLL.dll
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\40[1].html
- %TEMP%\nsg2.tmp\ExecCmd.dll
- %TEMP%\nsg2.tmp\System.dll
- %TEMP%\nsg2.tmp\Base64.dll
- %TEMP%\nsg2.tmp\Inetc.dll
Сетевая активность:
Подключается к:
- 'dl.#kiki.cn':80
- 'dl.###tic.iqiyi.com':80
- 'r.#####.store.qq.com':80
- '12#.#5.150.23':80
- 'ww#.#inaimg.cn':80
- 'do##2.uc.cn':80
- 'localhost':1041
TCP:
Запросы HTTP GET:
- http://ww#.#inaimg.cn/large/7185bdf1gw1f0copg2ejkg207o08ce84.gif
- http://ww#.#inaimg.cn/large/7185bdf1gw1f0e4pogauxg20i20bk4g7.gif
- http://dl.###tic.iqiyi.com/hz/IQIYIsetup_senxing@kb010.exe
- http://ww#.#inaimg.cn/large/7185bdf1gw1f0bxedvahkg20dw080e81.gif
- http://r.#####.store.qq.com/psb?/V#########################################################################
- http://ww#.#inaimg.cn/large/7185bdf1gw1f05vp3ys4ig20s60i07ww.gif
- http://ww#.#inaimg.cn/large/7185bdf1gw1f05vpdktqrg20go0a5u10.gif
- http://do##2.uc.cn/pcbrowser/down.php?pi######
- http://dl.#kiki.cn/dl/rse/1332280.exe
- http://12#.#5.150.23/YjY2MmVmNDkuZXhl/40.html
UDP:
- DNS ASK dl.###tic.iqiyi.com
- DNS ASK r.#####.store.qq.com
- DNS ASK dl.#kiki.cn
- DNS ASK ww#.#inaimg.cn
- DNS ASK do##2.uc.cn
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '#32770' WindowName: ''
- ClassName: '' WindowName: ''
