Техническая информация
Вредоносные функции:
Внедряет код в
следующие пользовательские процессы:
- YY.exe
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\RCX4.tmp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\yyroom[1].txt
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\yyroom1[1].txt
- <Текущая директория>\YY.exe{D6A48D89-4E94-4ee3-8189-CD4A287D5934}
- <Полный путь к файлу>{5F98A106-6058-46c7-A433-82A8C8522D17}
- <Текущая директория>\RCX2.tmp
- <Текущая директория>\YY.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\YY.exe
Удаляет следующие файлы:
- <Текущая директория>\YY.exe{D6A48D89-4E94-4ee3-8189-CD4A287D5934}
- <Полный путь к файлу>{5F98A106-6058-46c7-A433-82A8C8522D17}
Перемещает следующие файлы:
- <Текущая директория>\YY.exe в %TEMP%\_@3.tmp
- <Полный путь к файлу> в %TEMP%\_@1.tmp
Подменяет следующие файлы:
- <Текущая директория>\YY.exe{D6A48D89-4E94-4ee3-8189-CD4A287D5934}
- <Текущая директория>\YY.exe
- <Полный путь к файлу>{5F98A106-6058-46c7-A433-82A8C8522D17}
- <Полный путь к файлу>
Сетевая активность:
Подключается к:
- 'pi##iuwu.cn':80
- 'yy##l.com':80
TCP:
Запросы HTTP GET:
- http://pi##iuwu.cn/yyroom1.txt
- http://yy##l.com/yyroom.txt
UDP:
- DNS ASK pi##iuwu.cn
- DNS ASK yy##l.com
Другое:
Создает и запускает на исполнение:
- '<Текущая директория>\YY.exe'
