Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- <Текущая директория>\hzsoft\PPTV(pplive)_jinshan_13692.exe
- <Текущая директория>\hzsoft\haoie4069.exe
- <Текущая директория>\hzsoft\kwmusic16_4766.exe /sp- /verysilent
- <Текущая директория>\hzsoft\SgExplo34_4766.exe /sp- /verysilent
- <Текущая директория>\hzsoft\youdaodict.exe
- <Текущая директория>\qqcenots.exe
- <Текущая директория>\axrxc.exe
- <Текущая директория>\axrxc.exe (загружен из сети Интернет)
- <Текущая директория>\hzsoft\kwmusic16_4766.exe (загружен из сети Интернет)
- <Текущая директория>\hzsoft\SgExplo34_4766.exe (загружен из сети Интернет)
- <Текущая директория>\qqcenots.exe (загружен из сети Интернет)
- <Текущая директория>\hzsoft\youdaodict.exe (загружен из сети Интернет)
- <Текущая директория>\hzsoft\PPTV(pplive)_jinshan_13692.exe (загружен из сети Интернет)
- <Текущая директория>\hzsoft\haoie4069.exe (загружен из сети Интернет)
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\SgExplo34_4766[1].exe
- <Текущая директория>\hzsoft\PPTV(pplive)_jinshan_13692.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\PPTV(pplive)_jinshan_13692[1].exe
- <Текущая директория>\hzsoft\SgExplo34_4766.exe
- <Текущая директория>\eiijskj.bat
- <Текущая директория>\hzsoft\kwmusic16_4766.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\kwmusic16_4766[1].exe
- <Текущая директория>\hzsoft\haoie4069.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\qqcenots[1].exe
- <Текущая директория>\axrxc.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\axrxc[1].exe
- <Текущая директория>\qqcenots.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\haoie4069[1].exe
- <Текущая директория>\hzsoft\youdaodict.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\youdaodict[1].rar
Удаляет следующие файлы:
- <Текущая директория>\hzsoft\SgExplo34_4766.exe
- <Текущая директория>\hzsoft\kwmusic16_4766.exe
- <Текущая директория>\qqcenots.exe
- <Текущая директория>\hzsoft\youdaodict.exe
- <Текущая директория>\hzsoft\haoie4069.exe
- <Текущая директория>\hzsoft\PPTV(pplive)_jinshan_13692.exe
Сетевая активность:
Подключается к:
- 'd.#####.ijinshan.com':80
- 'my.##da123.com':80
- 'do###.xzskycn.com':80
- 'localhost':1036
- '21#.#47.14.32':80
TCP:
Запросы HTTP GET:
- d.#####.ijinshan.com/pptv/link/PPTV(pplive)_jinshan_13692.exe
- my.##da123.com/down34x/SgExplo34_4766.exe
- my.##da123.com/down13/kwmusic16_4766.exe
- d.#####.ijinshan.com/haoie/link/haoie4069.exe
- 21#.#47.14.32/dls/axrxc.exe
- 21#.#47.14.32/dls/qqcenots.exe
- do###.xzskycn.com/hzsoft/youdaodict.rar
UDP:
- DNS ASK my.##da123.com
- DNS ASK d.#####.ijinshan.com
- DNS ASK do###.xzskycn.com
