Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aut6316.tmp
- %TEMP%\1096qrgjqoe
- %TEMP%\autf227.tmp
- %TEMP%\hugsaky.exe
- %TEMP%\~olnobby.tmp
- %TEMP%\3036uwtwkua
- %TEMP%\autb906.tmp
- %TEMP%\gwqbpnk.exe
- %TEMP%\~lcnevfk.inf
- %HOMEPATH%\favorites\links\大神系统.url
- %HOMEPATH%\favorites\链接\大神系统.url
- %HOMEPATH%\favorites\大神系统.url
- %HOMEPATH%\favorites\links\淘.宝.url
- %HOMEPATH%\favorites\链接\淘.宝.url
- %HOMEPATH%\favorites\淘.宝.url
- %HOMEPATH%\favorites\links\京东.商城.url
- %HOMEPATH%\favorites\链接\京东.商城.url
- %HOMEPATH%\favorites\京东.商城.url
- %HOMEPATH%\favorites\links\网址.导航.url
- %HOMEPATH%\favorites\链接\网址.导航.url
- %HOMEPATH%\favorites\网址.导航.url
- %TEMP%\~trhppil.tmp
- %TEMP%\2752broeitp
- %TEMP%\aut8a26.tmp
- %TEMP%\prpgnij.exe
- %TEMP%\824ytlxsfl
- %TEMP%\aut717d.tmp
- %TEMP%\996tvemkqh
- %TEMP%\~nckshej.tmp
- %TEMP%\~uzmkohe.inf
Удаляет следующие файлы
- %TEMP%\aut6316.tmp
- %HOMEPATH%\favorites\链接\淘.宝.url
- %HOMEPATH%\favorites\链接\大神系统.url
- %HOMEPATH%\favorites\链接\京东.商城.url
- %HOMEPATH%\favorites\网址.导航.url
- %HOMEPATH%\favorites\淘.宝.url
- %HOMEPATH%\favorites\大神系统.url
- %HOMEPATH%\favorites\京东.商城.url
- %HOMEPATH%\favorites\links\网址.导航.url
- %HOMEPATH%\favorites\links\淘.宝.url
- %HOMEPATH%\favorites\links\大神系统.url
- %HOMEPATH%\favorites\links\京东.商城.url
- %TEMP%\~nckshej.tmp
- %TEMP%\hugsaky.exe
- %HOMEPATH%\favorites\链接\网址.导航.url
- %TEMP%\1096qrgjqoe
- %TEMP%\~olnobby.tmp
- %TEMP%\gwqbpnk.exe
- %TEMP%\3036uwtwkua
- %TEMP%\autb906.tmp
- %TEMP%\~lcnevfk.inf
- %TEMP%\~trhppil.tmp
- <DRIVERS>\etc\hosts
- %TEMP%\prpgnij.exe
- %TEMP%\2752broeitp
- %TEMP%\aut8a26.tmp
- %TEMP%\824ytlxsfl
- %TEMP%\aut717d.tmp
- %TEMP%\996tvemkqh
- %TEMP%\autf227.tmp
- %TEMP%\~uzmkohe.inf
Перемещает следующие файлы
- %ProgramFiles(x86)%\Microsoft Office\Office14\GROOVEEX.DLL в %ProgramFiles%\Microsoft Analysis Services\office14\grooveex.dll.del
Подменяет следующие файлы
- %HOMEPATH%\favorites\网址.导航.url
- %HOMEPATH%\favorites\链接\网址.导航.url
- %HOMEPATH%\favorites\links\网址.导航.url
- %HOMEPATH%\favorites\京东.商城.url
- %HOMEPATH%\favorites\链接\京东.商城.url
- %HOMEPATH%\favorites\links\京东.商城.url
- %HOMEPATH%\favorites\淘.宝.url
- %HOMEPATH%\favorites\链接\淘.宝.url
- %HOMEPATH%\favorites\links\淘.宝.url
- %HOMEPATH%\favorites\大神系统.url
- %HOMEPATH%\favorites\链接\大神系统.url
- %HOMEPATH%\favorites\links\大神系统.url
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\desktop.ini
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk
Сетевая активность
UDP
- DNS ASK yu#.xxx.com
Другое
Создает и запускает на исполнение
- '%TEMP%\prpgnij.exe' /HomeRegAccess10
- '%TEMP%\gwqbpnk.exe' /HomeRegAccess10
- '%TEMP%\hugsaky.exe' /HomeRegAccess10
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 %TEMP%\~lcnevfk.inf' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 %TEMP%\~uzmkohe.inf' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 %TEMP%\~lcnevfk.inf
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\grpconv.exe' -o
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 %TEMP%\~uzmkohe.inf
