Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '%ProgramFiles%\GCTfDVYN\b66ef49.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\4P2JULMZ\desktop.ini
- %WINDIR%\eNSEElm\xtnVveHh.tmp
- %WINDIR%\eNSEElm\FbRowah.dll
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\O1Q3STUV\desktop.ini
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\BSX7HTED\desktop.ini
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\5H5JTWWY\desktop.ini
- %WINDIR%\LAirxRM.dll
- %ProgramFiles%\GCTfDVYN\b66ef49.exe
- %WINDIR%\LUPHpF.dll
- %ALLUSERSPROFILE%\Application Data\KEOCnwy\BwTpAmM.dll
- %ALLUSERSPROFILE%\Application Data\KEOCnwy\youfiTNX.dll
- %WINDIR%\eNSEElm\ibxdoIkX.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\BSX7HTED\desktop.ini
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\O1Q3STUV\desktop.ini
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\4P2JULMZ\desktop.ini
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\5H5JTWWY\desktop.ini
Удаляет следующие файлы:
- %WINDIR%\eNSEElm\xtnVveHh.tmp
- %ProgramFiles%\GCTfDVYN\b66ef49.exe
- %WINDIR%\eNSEElm\FbRowah.dll
- %ALLUSERSPROFILE%\Application Data\KEOCnwy\youfiTNX.dll
- %WINDIR%\LUPHpF.dll
- %WINDIR%\LAirxRM.dll
- %WINDIR%\eNSEElm\ibxdoIkX.dll
Перемещает следующие файлы:
- %WINDIR%\eNSEElm\FbRowah.dll в %WINDIR%\eNSEElm\FbRowah.dll0428
- %ProgramFiles%\GCTfDVYN\b66ef49.exe в %ProgramFiles%\GCTfDVYN\b66ef49.exe0427
Подменяет следующие файлы:
- %HOMEPATH%\Local Settings\<INETFILES>\desktop.ini
- %ProgramFiles%\GCTfDVYN\b66ef49.exe
- %WINDIR%\eNSEElm\ibxdoIkX.dll
Сетевая активность:
Подключается к:
- 'www.58##y.com':80
- 'ts#.#xwan.com':80
- 'dl#.#xwan.com':80
- 'ip.##sexit.com':80
- 'www.ip.cn':80
- 'www.ip##8.com':80
- 'bk.##7wan.com':80
- 'cf#.##pinwan.com':80
- 'ud#.#xwan.com':80
- 'gc.#b51.com':80
- 'us###.qzone.qq.com':80
- 'r.###gyou.com':80
TCP:
Запросы HTTP GET:
- http://www.58##y.com/index/getcfg?id######
- http://gc.#b51.com/index/getcfg?id######
- http://www.ip##8.com/
- http://ip.##sexit.com/
- http://www.ip.cn/
- http://cf#.##pinwan.com/index/getcfg?id######
- http://ud#.#xwan.com/index/getcfg?id######
- http://bk.##7wan.com/index/getcfg?id######
- http://us###.qzone.qq.com/fcg-bin/cgi_get_portrait.fcg?ui############
- http://r.###gyou.com/fcg-bin/cgi_get_portrait.fcg?ui############
UDP:
- DNS ASK ts#.#xwan.com
- DNS ASK dl#.#xwan.com
- DNS ASK ip.##sexit.com
- DNS ASK www.ip.cn
- DNS ASK www.ip##8.com
- DNS ASK www.58##y.com
- DNS ASK bk.##7wan.com
- DNS ASK cf#.##pinwan.com
- DNS ASK ud#.#xwan.com
- DNS ASK gc.#b51.com
- DNS ASK us###.qzone.qq.com
- DNS ASK r.###gyou.com
- '25#.#55.255.255':6880
Другое:
Ищет следующие окна:
- ClassName: 'ToolbarWindow32' WindowName: ''
- ClassName: 'ReBarWindow32' WindowName: ''
- ClassName: 'hqghumeayln' WindowName: 'hqghumeayln'
- ClassName: 'RTGameMenuUI' WindowName: 'ИсЖр°ЛЧ¦УгУОП·ІЛµҐ'
- ClassName: 'RTGameMenuUI' WindowName: '??????????????????'
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'Progman' WindowName: 'Program Manager'
- ClassName: 'SysListView32' WindowName: 'FolderView'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'TApplication' WindowName: 'eyoorun'
