Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8\tool\K8RTLFix.exe' = '%ProgramFiles%\Kuai8\tool\K8R...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8\K8DLPlatform.exe' = '%ProgramFiles%\Kuai8\K8DLPla...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8\tool\K8RTLFix.exe' = '%ProgramFiles%\Kuai8\tool\K...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8\tool\K8PluginFix.exe' = '%ProgramFiles%\Kuai8\too...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8\tool\K8PluginFix.exe' = '%ProgramFiles%\Kuai8\tool\...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8\K8GM.exe' = '%ProgramFiles%\Kuai8\K8GM.exe:*:Enab...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8\K8GM.exe' = '%ProgramFiles%\Kuai8\K8GM.exe:*:Enable...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8\K8Flash.exe' = '%ProgramFiles%\Kuai8\K8Flash.exe:*:...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8\K8DLPlatform.exe' = '%ProgramFiles%\Kuai8\K8DLPlatf...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8\K8Flash.exe' = '%ProgramFiles%\Kuai8\K8Flash.exe:...
Запускает на исполнение:
- '%ProgramFiles%\Kuai8\tool\K8Bubble.exe' -query_action
- '%ProgramFiles%\Kuai8\K8Update.exe' -update -delay=3 -type=1
- '%ProgramFiles%\Kuai8\K8GM.exe' -show=3 -atonce
- '%ProgramFiles%\Kuai8\K8GM.exe' -update_data
- '%ProgramFiles%\Kuai8\K8Update.exe' -install
Изменения в файловой системе:
Создает следующие файлы:
- %ProgramFiles%\Kuai8\audio\complete.wav
- %APPDATA%\kuai8\data\plugin\pc.gmx
- %APPDATA%\kuai8\data\plugin\inwl.gmx
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\update_hot[1].php
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\їм°ЙУОП·.lnk
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\update_database[1].php
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\update_top[1].php
- %APPDATA%\kuai8\data\plugin\hot.gmx
- %APPDATA%\kuai8\data\database.gmx
- %ProgramFiles%\Kuai8\tool\msvcr80.dll
- %APPDATA%\kuai8\data\plugin\top.gmx
- %APPDATA%\kuai8\data\plugin\netwl.gmx
- %APPDATA%\kuai8\data\plugin\window.gmx
- %APPDATA%\kuai8\data\plugin\scan.gmx
- %HOMEPATH%\Desktop\їм°ЙУОП·.lnk
- %APPDATA%\kuai8\data\search.gms
- %APPDATA%\kuai8\data\search.gms-journal
- %APPDATA%\kuai8\data\local\user.xml
- %APPDATA%\kuai8\config\config.xml
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\update_icon[1].php
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\update_plugin[1].php
- %APPDATA%\kuai8\cache.xml
- %HOMEPATH%\Start Menu\Programs\їм°ЙУОП·\їм°ЙflashІҐ·ЕЖч.lnk
- %HOMEPATH%\Start Menu\Programs\їм°ЙУОП·\їм°ЙУОП·.lnk
- %HOMEPATH%\Desktop\їм°ЙТіУОґуМь.lnk
- %HOMEPATH%\Start Menu\Programs\їм°ЙУОП·\їм°ЙТіУОґуМь.lnk
- %APPDATA%\kuai8\data\local\recent.xml
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\stat[1].php
- %HOMEPATH%\Start Menu\Programs\їм°ЙУОП·\Р¶ФШїм°Й.lnk
- %ProgramFiles%\Kuai8\tool\msvcp80.dll
- %ProgramFiles%\Kuai8\K8Common.dll
- %ProgramFiles%\Kuai8\K8UrlEncrypt.dll
- %ProgramFiles%\Kuai8\K8BugReport.exe
- %ProgramFiles%\Kuai8\K8DLUtils.dll
- %ProgramFiles%\Kuai8\Microsoft.VC80.CRT.manifest
- %ProgramFiles%\Kuai8\K8UIRender.dll
- %ProgramFiles%\Kuai8\K8DLPlatform.exe
- %ProgramFiles%\Kuai8\K8Flash.exe
- %ProgramFiles%\Kuai8\K8GM.exe
- %TEMP%\nsk2.tmp
- %ProgramFiles%\Kuai8\K8Browser.exe
- %ProgramFiles%\Kuai8\K8Version.dll
- %ProgramFiles%\Kuai8\K8Update.exe
- %ProgramFiles%\Kuai8\K8Web.exe
- %ProgramFiles%\Kuai8\msvcp80.dll
- %ProgramFiles%\Kuai8\tool\K8Mini.exe
- %ProgramFiles%\Kuai8\tool\K8Tray.exe
- %ProgramFiles%\Kuai8\tool\K8External.exe
- %ProgramFiles%\Kuai8\tool\K8RTLFix.exe
- %ProgramFiles%\Kuai8\tool\Microsoft.VC80.CRT.manifest
- %ProgramFiles%\Kuai8\tool\K8NetDetect.exe
- %ProgramFiles%\Kuai8\tool\K8PluginFix.exe
- %ProgramFiles%\Kuai8\tool\K8RestoreWindow.dll
- %ProgramFiles%\Kuai8\Uninstall.exe
- %ProgramFiles%\Kuai8\msvcr80.dll
- %ProgramFiles%\Kuai8\tool\K8Bubble.exe
- %ProgramFiles%\Kuai8\tool\K8DLUtils.dll
- %ProgramFiles%\Kuai8\tool\K8UIRender.dll
- %ProgramFiles%\Kuai8\tool\K8Common.dll
Удаляет следующие файлы:
- %APPDATA%\kuai8\data\search.gms-journal
- %TEMP%\nsu3.tmp\System.dll
- %TEMP%\nsu3.tmp\K8NsisMiniExtend.dll
Подменяет следующие файлы:
- %APPDATA%\kuai8\data\search.gms-journal
Сетевая активность:
Подключается к:
- 'se####e.kuai8.com':80
- 'st##.kuai8.com':80
- 'up####.kuai8.com':80
TCP:
Запросы HTTP GET:
- http://up####.kuai8.com/update_plugin.php?da########################################################################################################
- http://up####.kuai8.com/update_plugin.php?da######################################################################################################
- http://up####.kuai8.com/update_plugin.php?da############################################################################################
- http://up####.kuai8.com/update_plugin.php?da##########################################################################################################################################
- http://up####.kuai8.com/update_plugin.php?da####################################################################################################################
- http://up####.kuai8.com/update_plugin.php?da############################################################################################################
- http://up####.kuai8.com/update_plugin.php?da##############################################################################################################
- http://up####.kuai8.com/update_plugin.php?da########################################################################################################################################
- http://up####.kuai8.com/update_plugin.php?da############################################################################
- http://up####.kuai8.com/update_database.php?da########################################################################################
- http://st##.kuai8.com/stat.php?da####################################################################
- http://up####.kuai8.com/update_hot.php?da##########################################################################################
- http://up####.kuai8.com/update_top.php?da########################################################################################
- http://up####.kuai8.com/update_plugin.php?da##########################################################################################
- http://up####.kuai8.com/update_icon.php?da##########################################################################
- http://se####e.kuai8.com/time.php?da########
- http://up####.kuai8.com/update_plugin.php?da########################################################################################
Запросы HTTP POST:
- http://up####.kuai8.com/update_icon.php?da####################################################################
UDP:
- DNS ASK se####e.kuai8.com
- DNS ASK ic##.kuai8.com
- DNS ASK up####.kuai8.com
- DNS ASK st##.kuai8.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: 'їм°ЙУОП·дЇААЖч'
- ClassName: '' WindowName: '??????????????'
- ClassName: 'SysListView32' WindowName: 'FolderView'
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'Progman' WindowName: 'Program Manager'
- ClassName: '' WindowName: 'їм°ЙНшТіУОП·'
- ClassName: 'GMKuaiBaWnd' WindowName: 'їм°ЙУОП·'
- ClassName: 'GMKuaiBaWnd' WindowName: '????????'
- ClassName: 'GMBubbleWnd' WindowName: ''
- ClassName: '' WindowName: '????????????'
- ClassName: '' WindowName: 'їм°ЙFlashУОП·'
- ClassName: '' WindowName: '????Flash????'
