Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dl8ce3.tmp
- %TEMP%\tbad10.tmp
- %WINDIR%\temp\exttools.dll
Сетевая активность
Подключается к
- 'wb###ong.com':80
- 'v1.#nzz.com':443
- 'wb##.#####n-hangzhou.aliyuncs.com':80
- '00##.#bxitong.com':443
TCP
Запросы HTTP GET
- http://wb###ong.com/tongji/tongji.php?us###############################
- http://wb###ong.com/success.php
- http://00##.#bxitong.com/0007.html
- http://wb###ong.com/tz_interval2.php
- http://wb###ong.com/win7mode.php
- http://wb###ong.com/lk_secs.php
- http://wb###ong.com/tasknum.php
- http://wb###ong.com/fetchtbsim.php
- http://wb##.#####n-hangzhou.aliyuncs.com/tbsim.exe
Другие
- 'v1.#nzz.com':443
- 'wb###ong.com':443
UDP
- DNS ASK wb###ong.com
- DNS ASK 00##.#bxitong.com
- DNS ASK v1.#nzz.com
- DNS ASK wb##.#####n-hangzhou.aliyuncs.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\tbad10.tmp'
- '%WINDIR%\syswow64\svchost.exe' ' (со скрытым окном)
- '%TEMP%\tbad10.tmp' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe'
