Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{DE847002-A1B2-4218-ACF5-DEACCA794058}] 'EXEC' = 'http://www.ghost222.cn'
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{69D55514-F228-4DAF-B9E4-669A8D24E941}] 'EXEC' = 'http://www.you222.com\htm_root\dianying\index.html'
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{186D0855-6D61-4602-B065-443B8C215AB0}] 'EXEC' = 'http://www.you222.com'
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{0713E8D2-850A-101B-AFC0-4210102A8DA7}] 'EXEC' = 'http://shop35178472.taobao.com/'
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{C21E1A56-7E9E-4577-BA8D-5233FCDCC799}] 'EXEC' = 'http://www.you222.com\htm_root\pingshu\index.html'
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{9C1EAB81-134B-4D55-9393-96F7B9A1114A}] 'EXEC' = 'http://www.Flash6000.com'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c <Текущая директория>\$$a.bat
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\$$a.bat
Самоудаляется.
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: ''
