Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- <Текущая директория>\SideBar.exe
- <Текущая директория>\netbar.exe
- %TEMP%\up_sidebar.exe -u -p:<Текущая директория>\
- %TEMP%\temp_sidebar.exe -p131qz1 -d<Текущая директория>\
Запускает на исполнение:
- <SYSTEM32>\svchost.exe -k HTTPFilter
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ProtectDllModule.dll
- <Текущая директория>\netbar.exe
- %WINDIR%\urlmatch.xml
- %TEMP%\ssvchos1t.exe
- <Текущая директория>\url.xml
- %WINDIR%\set_tmp.ini
- <Текущая директория>\SideBar.exe
- %TEMP%\temp_sidebar.exe
- %TEMP%\up_sidebar.exe
- <Текущая директория>\KPath.dll
- <Текущая директория>\100GameAgent.dll
- <Текущая директория>\client.ini
Удаляет следующие файлы:
- %WINDIR%\set_tmp.ini
- %TEMP%\temp_sidebar.exe
Сетевая активность:
Подключается к:
- 'do####l.jiajiaee.cn':80
- 'wd###.jiajiaee.cn':80
TCP:
Запросы HTTP GET:
- do####l.jiajiaee.cn/iepop/list/kbset.ini
- wd###.jiajiaee.cn/keys/list/urlmatch.xml
UDP:
- DNS ASK do####l.jiajiaee.cn
- DNS ASK ns.##-lm.com
- DNS ASK wd###.jiajiaee.cn
- '<IP-адрес в локальной сети>':1035
Другое:
Ищет следующие окна:
- ClassName: 'Progman' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
