Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ddos-clean' = '%PROGRAM_FILES%\ddos-clean\ddoscleanu.exe /8L'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Todaytab Client' = '%PROGRAM_FILES%\Todaytab Application\TodayTab.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\zipon\ddoscleansetup_new.exe
- %APPDATA%\zipon\withmoa_hidden_20101223.exe
- %TEMP%\InfoTab_IF96.exe
- %TEMP%\WinDV_WD03.exe
- %PROGRAM_FILES%\Todaytab Application\todaycnt.exe 5
- %APPDATA%\zipon\market_sell.exe
- %APPDATA%\zipon\Setupcode5.exe
- %APPDATA%\zipon\InfoTab__IF96.exe
- %APPDATA%\zipon\WinDV__WD03.exe
- %TEMP%\InfoTab_IF96.exe (загружен из сети Интернет)
- %TEMP%\WinDV_WD03.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c ""C:\Delete.bat" "
- <SYSTEM32>\cmd.exe /c \DelUS.bat
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Favorites\ґзЅЕАМ ГЈґВ ёрµз ЅєЕёАП,їБјЗ.lnk
- %HOMEPATH%\Favorites\µрѕШјҐ, ЅГБр2.lnk
- %TEMP%\nsk9.tmp\SelfDelete.dll
- %WINDIR%\market_sell_uinst.exe
- %HOMEPATH%\Favorites\јоЗО ЅєЖ®ё®Ж®,11№ш°Ў.lnk
- %TEMP%\nsf7.tmp
- %TEMP%\nsj2.tmp\SelfDelete.dll
- %HOMEPATH%\Favorites\»х·Оїо јј»уА» ї©ґВ №®, Gё¶ДП.lnk
- %TEMP%\nsb8.tmp\ExistFiles.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\yak_app[1].htm
- %TEMP%\InfoTab_IF96.exe
- C:\Delete.bat
- %TEMP%\nsb8.tmp\SelfDelete.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\version5[1]
- %TEMP%\WinDV_WD03.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\WinDV_WD03[1].exe
- %TEMP%\nsb8.tmp\DLLWebCount.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\reward[1].chk
- C:\DelUS.bat
- %APPDATA%\zipon\ddoscleansetup_new.exe
- %APPDATA%\zipon\withmoa_hidden_20101223.exe
- %PROGRAM_FILES%\Todaytab Application\TodayTab.exe
- %TEMP%\nsj2.tmp\UAC.dll
- %APPDATA%\zipon\install_p3.exe
- %APPDATA%\zipon\market_sell.exe
- %APPDATA%\zipon\Setupcode5.exe
- %APPDATA%\zipon\InfoTab__IF96.exe
- %APPDATA%\zipon\WinDV__WD03.exe
- %WINDIR%\ie_icon.ico
- %WINDIR%\11market.ico
- %TEMP%\nsl5.tmp\SelfDelete.dll
- %WINDIR%\auction.ico
- %WINDIR%\gmarket.ico
- %PROGRAM_FILES%\Todaytab Application\todaycnt.exe
- %PROGRAM_FILES%\Todaytab Application\Todaytab_Client.exe
- %PROGRAM_FILES%\Todaytab Application\Uninstall.exe
- %PROGRAM_FILES%\Todaytab Application\today.swf
Удаляет следующие файлы:
- %TEMP%\nsb8.tmp\ExistFiles.dll
- %TEMP%\nsb8.tmp\DLLWebCount.dll
- %TEMP%\nsb8.tmp\SelfDelete.dll
- %APPDATA%\zipon\ddoscleansetup_new.exe
- %APPDATA%\zipon\withmoa_hidden_20101223.exe
- %TEMP%\nsj2.tmp\SelfDelete.dll
- %TEMP%\nsl5.tmp\SelfDelete.dll
- %TEMP%\nsj2.tmp\UAC.dll
- %APPDATA%\zipon\market_sell.exe
- %TEMP%\nsk9.tmp\SelfDelete.dll
Самоудаляется.
Сетевая активность:
Подключается к:
- 'dd###lean.com':80
- 'fi##.#nfotab.co.kr':80
- 'wr######famanu.wbappm.com':80
- 'www.wi##moa.com':80
- 'wi#####le.infotab.co.kr':80
- 'localhost':1037
- 'en##ew.com':80
- 'www.to###tab.co.kr':80
TCP:
Запросы HTTP GET:
- dd###lean.com/value.php?st###################################################################
- dd###lean.com/mac_ck.php?st#####################
- www.wi##moa.com/count/insert.php?pi################
- dd###lean.com/version/version
- wr######famanu.wbappm.com/APP/ck_setup.php?m=#######################################
- dd###lean.com/etc/yak_app.htm
- www.to###tab.co.kr/log/install.php?ma############################
- wi#####le.infotab.co.kr/dst/WinDV_WD03.exe
- en##ew.com/nzell_app/reward.chk
- fi##.#nfotab.co.kr/dst/InfoTab_IF96.exe
- www.to###tab.co.kr/ver/version5
UDP:
- DNS ASK www.wi##moa.com
- DNS ASK dd###lean.com
- DNS ASK up####.ddosclean.com
- DNS ASK wr######famanu.wbappm.com
- DNS ASK www.to###tab.co.kr
- DNS ASK wi#####le.infotab.co.kr
- DNS ASK fi##.#nfotab.co.kr
- DNS ASK en##ew.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'ISKIM Frameworks LogWnd2' WindowName: '???? 2.0'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
