Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
Вредоносные функции:
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\aut1.tmp
- %HOMEPATH%\Favorites\链接\网页游戏.url
- %HOMEPATH%\Favorites\links\网页游戏.url
- %HOMEPATH%\Favorites\玩手机游戏.url
- %HOMEPATH%\Favorites\链接\玩手机游戏.url
- %HOMEPATH%\Favorites\links\玩手机游戏.url
- %HOMEPATH%\Favorites\游戏加速.url
- %HOMEPATH%\Favorites\链接\游戏加速.url
- %HOMEPATH%\Favorites\links\游戏加速.url
- %HOMEPATH%\Favorites\美女图片.url
- %HOMEPATH%\Favorites\百度一下.url
- %HOMEPATH%\Favorites\链接\美女图片.url
- %HOMEPATH%\Favorites\小游戏.url
- %HOMEPATH%\Favorites\链接\小游戏.url
- %HOMEPATH%\Favorites\links\小游戏.url
- %HOMEPATH%\Favorites\免费电影.url
- %HOMEPATH%\Favorites\链接\免费电影.url
- %HOMEPATH%\Favorites\links\免费电影.url
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\显示桌面.scf
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk
- %TEMP%\~ewqvxeu.inf
- %HOMEPATH%\Favorites\links\天猫精选.url
- %HOMEPATH%\Favorites\网页游戏.url
- %HOMEPATH%\Favorites\链接\天猫精选.url
- %HOMEPATH%\Favorites\天猫精选.url
- %HOMEPATH%\Favorites\links\京东商城.url
- %TEMP%\aut2.tmp
- %TEMP%\2944dpvkhpt
- %TEMP%\zvuhsda.exe
- %TEMP%\aut3.tmp
- %TEMP%\2964cmpieuh
- %TEMP%\~utlpyri.tmp
- %TEMP%\sxjmbah.exe
- %TEMP%\aut4.tmp
- %TEMP%\3036voeqhrg
- %TEMP%\LCuIEUo.bat
- %HOMEPATH%\Favorites\links\美女图片.url
- %TEMP%\~funwpii.tmp
- %HOMEPATH%\Favorites\links\百度一下.url
- %HOMEPATH%\Favorites\网址导航.url
- %HOMEPATH%\Favorites\链接\网址导航.url
- %HOMEPATH%\Favorites\links\网址导航.url
- %HOMEPATH%\Favorites\淘宝网.url
- %HOMEPATH%\Favorites\链接\淘宝网.url
- %HOMEPATH%\Favorites\links\淘宝网.url
- %HOMEPATH%\Favorites\京东商城.url
- %HOMEPATH%\Favorites\链接\京东商城.url
- %TEMP%\2896vqzcqam
- %HOMEPATH%\Favorites\链接\百度一下.url
- %TEMP%\iMOqj2w.bat
Удаляет следующие файлы:
- %TEMP%\aut1.tmp
- %TEMP%\2896vqzcqam
- %TEMP%\aut2.tmp
- %TEMP%\2944dpvkhpt
- %TEMP%\aut3.tmp
- %TEMP%\zvuhsda.exe
- %TEMP%\2964cmpieuh
- %TEMP%\~utlpyri.tmp
- %TEMP%\aut4.tmp
- %TEMP%\3036voeqhrg
- %TEMP%\sxjmbah.exe
- %TEMP%\~funwpii.tmp
- <DRIVERS>\etc\hosts
- %TEMP%\~ewqvxeu.inf
Перемещает следующие файлы:
- <Полный путь к файлу> в <Текущая директория>\~qpmqyaj.tmp
Сетевая активность:
Подключается к:
- 'yu#.#qidong.com':80
UDP:
- DNS ASK yu#.#qidong.com
Другое:
Создает и запускает на исполнение:
- '<Полный путь к файлу>' /nstart
- '%TEMP%\zvuhsda.exe' /HomeRegAccess10
- '%TEMP%\sxjmbah.exe' /HomeRegAccess10
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 %TEMP%\~ewqvxeu.inf
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\grpconv.exe' -o
- '<SYSTEM32>\cmd.exe' /c %TEMP%\LCuIEUo.bat
- '<SYSTEM32>\cmd.exe' /c %TEMP%\iMOqj2w.bat
- '<SYSTEM32>\ping.exe' -n 1 127.0.0.1
