Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- <Текущая директория>\2764\2764.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\GBMTBcfg\CFVltnQ
- %WINDIR%\gfanwuxgun.dll
- %WINDIR%\RCX1.tmp
- <Текущая директория>\2764\linkconfig.ini
- <Текущая директория>\2764\2764.exe
- %APPDATA%\nojHfZjjquDjFTpOEpeEKk\cCqNlziauwiR
Удаляет следующие файлы:
- %WINDIR%\gfanwuxgun.dll
- %WINDIR%\Temp\GBMTBcfg\CFVltnQ.tmp
- %APPDATA%\nojHfZjjquDjFTpOEpeEKk\cCqNlziauwiR.tmp
Перемещает следующие файлы:
- <Текущая директория>\2764\2764.exe.dat в <Текущая директория>\2764\2764.exe
- %WINDIR%\RCX1.tmp в %WINDIR%\gfanwuxgun.dll
- <Текущая директория>\2764\2764.exe в <Текущая директория>\2764\2764.exe.dat
- %APPDATA%\nojHfZjjquDjFTpOEpeEKk\cCqNlziauwiR в %APPDATA%\nojHfZjjquDjFTpOEpeEKk\cCqNlziauwiR.tmp
- %WINDIR%\Temp\GBMTBcfg\CFVltnQ в %WINDIR%\Temp\GBMTBcfg\CFVltnQ.tmp
Сетевая активность:
Подключается к:
- 've#.#1tyx.cn':8181
- 've#.#1tyx.cn':80
- 've#.#1tyx.cn':8888
- 've#.#1tyx.cn':81
- 'pi#.#f120.com':8100
- 'www.16#.com':80
- 've#.#1tyx.cn':443
- 'pp.##push.cn':8383
TCP:
Запросы HTTP GET:
- www.16#.com/404.html
UDP:
- DNS ASK ud#.#1tyx.cn
- DNS ASK ve#.#1tyx.cn
- DNS ASK pp.##push.cn
- DNS ASK www.16#.com
- DNS ASK pi#.#f120.com
Другое:
Ищет следующие окна:
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'Progman' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
