Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'hndclient' = '<Полный путь к файлу>'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Изменения в файловой системе
Создает следующие файлы
- %PROGRAMDATA%\handycafe\client\data\sets.ini
- <Текущая директория>\language\lng.ini
- %PROGRAMDATA%\handycafe\client\dump.log
- %PROGRAMDATA%\handycafe\client\data\data.dat
- %PROGRAMDATA%\handycafe\client\mtzzujziho_list.dat
Сетевая активность
TCP
Запросы HTTP POST
- http://ad.###dycafe.com/se/adx.php
UDP
- DNS ASK ad.###dycafe.com
Другое
Ищет следующие окна
- ClassName: '_cupclass' WindowName: ''
- ClassName: 'Progman' WindowName: ''
- ClassName: 'TfrmOnline' WindowName: 'HandyCafe Client'
- ClassName: 'TfrmMessage' WindowName: ''
- ClassName: '_today' WindowName: ''
- ClassName: 'TfrmCafe' WindowName: ''
- ClassName: 'hndpop' WindowName: ''
- ClassName: 'TfrmChangePass' WindowName: ''
- ClassName: 'TfrmSettings' WindowName: 'Options'
- ClassName: 'TfrmWait' WindowName: 'HandyCafe Client'
- ClassName: '_guard_' WindowName: 'Guardit'
