Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{FA214B13-1A9F-480B-B749-94A566FC59D9}] 'Exec' = 'http://click.intetich.com/?a_id=clickkorea_v&m_id=11st'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{8605E9B4-68C1-4ED9-B282-74C1AA3C312E}] 'Exec' = 'http://click.intetich.com/?a_id=clickkorea_v&m_id=auction'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'windowviewcon' = '"%ALLUSERSPROFILE%\Application Data\windowviewcon\windowviewconup.exe"'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{D64A7743-7E62-4002-90EA-80E0671F9902}] 'Exec' = 'http://click.intetich.com/?a_id=clickkorea_v&m_id=gmarket'
Вредоносные функции:
Создает и запускает на исполнение:
- %ALLUSERSPROFILE%\Application Data\windowviewcon\windowviewconup.exe /it
- %ALLUSERSPROFILE%\Application Data\windowviewcon\windowviewconup.exe
- %APPDATA%\temp\windowviewcon1.exe
- %APPDATA%\temp\WindowviewconSetup.exe /S
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Favorites\Gё¶ДП.url
- %HOMEPATH%\Desktop\їБјЗ.url
- %HOMEPATH%\Favorites\їБјЗ.url
- %HOMEPATH%\Favorites\11№ш°Ў.url
- %HOMEPATH%\Desktop\Internet Explorer.lnk
- %ALLUSERSPROFILE%\Application Data\windowviewcon\auction.ico
- %HOMEPATH%\Desktop\11№ш°Ў.url
- %HOMEPATH%\Desktop\Gё¶ДП.url
- %HOMEPATH%\Favorites\Links\Gё¶ДП.url
- %ALLUSERSPROFILE%\Application Data\windowviewcon\їБјЗ.lnk
- %ALLUSERSPROFILE%\Application Data\windowviewcon\11№ш°Ў.lnk
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\infow[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\install[1].php
- %HOMEPATH%\Favorites\Links\їБјЗ.url
- %HOMEPATH%\Favorites\Links\11№ш°Ў.url
- %TEMP%\nsq9.tmp\InvokeShellVerb.dll
- %ALLUSERSPROFILE%\Application Data\windowviewcon\Gё¶ДП.lnk
- %ALLUSERSPROFILE%\Application Data\windowviewcon\11st.ico
- %APPDATA%\temp\WindowviewconSetup.exe
- %TEMP%\nsi5.tmp
- %TEMP%\nst6.tmp\nsCmds2.dll
- %TEMP%\nst6.tmp\nsCommands3.dll
- %APPDATA%\temp\windowviewcon1.exe
- %TEMP%\nsi2.tmp
- %TEMP%\nsi3.tmp\nsCmds2.dll
- %TEMP%\nsi3.tmp\nsCommands3.dll
- %TEMP%\nsq8.tmp
- %ALLUSERSPROFILE%\Application Data\windowviewcon\config.cfg
- %ALLUSERSPROFILE%\Application Data\windowviewcon\windowviewcon.exe
- %ALLUSERSPROFILE%\Application Data\windowviewcon\gmarket.ico
- %ALLUSERSPROFILE%\Application Data\windowviewcon\uninstall.exe
- %TEMP%\nsq9.tmp\System.dll
- %TEMP%\nsq9.tmp\UAC.dll
- %ALLUSERSPROFILE%\Application Data\windowviewcon\windowviewconup.exe
- %TEMP%\nsq9.tmp\AccessControl.dll
Удаляет следующие файлы:
- %TEMP%\nsq9.tmp\InvokeShellVerb.dll
- %TEMP%\nsq9.tmp\AccessControl.dll
- %TEMP%\nsq9.tmp\UAC.dll
- %TEMP%\nsq9.tmp\System.dll
- %APPDATA%\temp\windowviewcon1.exe
- %TEMP%\nsi3.tmp\nsCommands3.dll
- %TEMP%\nsi3.tmp\nsCmds2.dll
- %TEMP%\nst6.tmp\nsCommands3.dll
- %TEMP%\nst6.tmp\nsCmds2.dll
Самоудаляется.
Сетевая активность:
Подключается к:
- 'www.mu##.co.kr':80
TCP:
Запросы HTTP GET:
- www.mu##.co.kr/app/windowviewcon/info/infow.php?pt###################
- www.mu##.co.kr/count/windowviewcon/install.php?pt####################################################
UDP:
- DNS ASK www.mu##.co.kr
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
