Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ZDYY' = 'c:\ts.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ZDYY' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{BF5DC4AE-258C-43d5-9D80-1F7ACD734DD8}] 'Exec' = 'http://www.200av.com'
Вредоносные функции:
Создает и запускает на исполнение:
- C:\ts.exe
- C:\dingdan.exe
Скрывает следующие процессы:
- C:\ts.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\order[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\report[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\task[1].htm
- C:\hideprocess.sys
- C:\7.ico
- C:\dingdan.exe
- C:\ts.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\ts.exe
- <Полный путь к вирусу>
- C:\7.ico
Удаляет следующие файлы:
- %WINDIR%\Media\Windows XP Menu Command.wav
- %WINDIR%\Media\Windows XP Logon Sound.wav
- %WINDIR%\Media\Windows XP Notify.wav
- %WINDIR%\Media\Windows XP Minimize.wav
- %WINDIR%\Media\Windows XP Logoff Sound.wav
- %WINDIR%\Media\Windows XP Hardware Insert.wav
- %WINDIR%\Media\Windows XP Hardware Fail.wav
- %WINDIR%\Media\Windows XP Information Bar.wav
- %WINDIR%\Media\Windows XP Hardware Remove.wav
- %WINDIR%\Media\Windows XP Pop-up Blocked.wav
- %WINDIR%\Media\Windows XP Start.wav
- %WINDIR%\Media\Windows XP Shutdown.wav
- C:\hideprocess.sys
- %WINDIR%\Media\Windows XP Startup.wav
- %WINDIR%\Media\Windows XP Ringout.wav
- %WINDIR%\Media\Windows XP Recycle.wav
- %WINDIR%\Media\Windows XP Print complete.wav
- %WINDIR%\Media\Windows XP Ringin.wav
- %WINDIR%\Media\Windows XP Restore.wav
- %WINDIR%\Media\Windows XP Exclamation.wav
- %WINDIR%\Media\recycle.wav
- %WINDIR%\Media\onestop.mid
- %WINDIR%\Media\ringout.wav
- %WINDIR%\Media\ringin.wav
- %WINDIR%\Media\notify.wav
- %WINDIR%\Media\chord.wav
- %WINDIR%\Media\chimes.wav
- %WINDIR%\Media\flourish.mid
- %WINDIR%\Media\ding.wav
- %WINDIR%\Media\start.wav
- %WINDIR%\Media\Windows XP Default.wav
- %WINDIR%\Media\Windows XP Critical Stop.wav
- %WINDIR%\Media\Windows XP Error.wav
- %WINDIR%\Media\Windows XP Ding.wav
- %WINDIR%\Media\Windows XP Battery Low.wav
- %WINDIR%\Media\town.mid
- %WINDIR%\Media\tada.wav
- %WINDIR%\Media\Windows XP Battery Critical.wav
- %WINDIR%\Media\Windows XP Balloon.wav
Сетевая активность:
Подключается к:
- 'localhost':1048
- 'wd.#60.cn':80
- 'www.12###6pay.com':80
- 'di####.123456pay.com':80
- 'localhost':1037
- 'localhost':1038
- 'www.40###47315.com':80
TCP:
Запросы HTTP GET:
- di####.123456pay.com/999-999.txt
- di####.123456pay.com/???############
- www.12###6pay.com/html/task.htm
- wd.#60.cn/report/
- di####.123456pay.com/dingdan.txt
- di####.123456pay.com/1-1.txt
- www.40###47315.com/p57/order.html
- di####.123456pay.com/11-11.txt
- di####.123456pay.com/???########
UDP:
- DNS ASK www.ba##u.com
- DNS ASK www.12###6pay.com
- DNS ASK wd.#60.cn
- DNS ASK www.40###47315.com
- DNS ASK di####.123456pay.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '#32770' WindowName: '??????????????'
- ClassName: '#32770' WindowName: 'Microsoft Internet Explorer'
- ClassName: '#32770' WindowName: 'Windows ??????????'
- ClassName: '#32770' WindowName: '????????????'
