Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\setups_66_18989.exe'
- 'C:\bdplayer30_6724.exe' /sp- /verysilent
- 'C:\PPTV(pplive)_jinshan_31198.exe'
- 'C:\KAVSETUPS_66_29352.exe'
- 'C:\explorer26_6724.exe' /sp- /verysilent
- 'C:\7ksetup32_6724.exe' /sp- /verysilent
- '%WINDIR%\Doomsday.exe'
- 'C:\2345pack_k1023838351_v2.5.exe'
- 'C:\kwmusic16_6724.exe' /sp- /verysilent
- 'C:\ydcidian28_6724.exe' /sp- /verysilent
- 'C:\QQPCMgr31_6724.exe' /sp- /verysilent
- 'C:\setups_66_18989.exe' (загружен из сети Интернет)
- 'C:\QQPCMgr31_6724.exe' (загружен из сети Интернет)
- 'C:\KAVSETUPS_66_29352.exe' (загружен из сети Интернет)
- 'C:\PPTV(pplive)_jinshan_31198.exe' (загружен из сети Интернет)
- 'C:\ydcidian28_6724.exe' (загружен из сети Интернет)
- 'C:\kwmusic16_6724.exe' (загружен из сети Интернет)
- 'C:\2345pack_k1023838351_v2.5.exe' (загружен из сети Интернет)
- 'C:\explorer26_6724.exe' (загружен из сети Интернет)
- 'C:\7ksetup32_6724.exe' (загружен из сети Интернет)
- 'C:\bdplayer30_6724.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%WINDIR%\temp.vbs"
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\tskill.exe' 1432
- '<SYSTEM32>\taskmgr.exe'
- '<SYSTEM32>\attrib.exe' +H +S %WINDIR%\Doomsday.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- C:\PPTV(pplive)_jinshan_31198.exe.tmp
- C:\KAVSETUPS_66_29352.exe.tmp
- C:\explorer26_6724.exe.tmp
- C:\bdplayer30_6724.exe.tmp
- C:\7ksetup32_6724.exe.tmp
- %WINDIR%\temp.vbs
- %HOMEPATH%\Desktop\Internet Exp1orer.lnk
- %WINDIR%\123.ico
- C:\setups_66_18989.exe.tmp
- C:\QQPCMgr31_6724.exe.tmp
- C:\ydcidian28_6724.exe.tmp
- %TEMP%\E_N4\eCompress.fne
- %TEMP%\E_N4\shell.fne
- %TEMP%\E_N4\eAPI.fne
- %TEMP%\E_N4\krnln.fnr
- %TEMP%\E_N4\EThread.fne
- C:\KDeleteDuba.zip.tmp
- C:\kwmusic16_6724.exe.tmp
- C:\2345pack_k1023838351_v2.5.exe.tmp
- %WINDIR%\Doomsday.exe
- %WINDIR%\mori.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\123.ico
- %WINDIR%\Doomsday.exe
Перемещает следующие файлы:
- C:\PPTV(pplive)_jinshan_31198.exe.tmp в C:\PPTV(pplive)_jinshan_31198.exe
- C:\explorer26_6724.exe.tmp в C:\explorer26_6724.exe
- C:\KAVSETUPS_66_29352.exe.tmp в C:\KAVSETUPS_66_29352.exe
- C:\QQPCMgr31_6724.exe.tmp в C:\QQPCMgr31_6724.exe
- C:\setups_66_18989.exe.tmp в C:\setups_66_18989.exe
- C:\7ksetup32_6724.exe.tmp в C:\7ksetup32_6724.exe
- C:\KDeleteDuba.zip.tmp в C:\KDeleteDuba.zip
- C:\2345pack_k1023838351_v2.5.exe.tmp в C:\2345pack_k1023838351_v2.5.exe
- C:\kwmusic16_6724.exe.tmp в C:\kwmusic16_6724.exe
- C:\bdplayer30_6724.exe.tmp в C:\bdplayer30_6724.exe
- C:\ydcidian28_6724.exe.tmp в C:\ydcidian28_6724.exe
Сетевая активность:
Подключается к:
- 'my.##da123.com':80
- 'un###.ijinshan.com':80
- 'do####ad.2345.com':80
TCP:
Запросы HTTP GET:
- my.##da123.com/down26/explorer26_6724.exe
- my.##da123.com/down32/7ksetup32_6724.exe
- my.##da123.com/down31/QQPCMgr31_6724.exe
- un###.ijinshan.com/jump.php?u_##########
- my.##da123.com/down30/bdplayer30_6724.exe
- un###.ijinshan.com/uploadfile/KDeleteDuba.zip
- do####ad.2345.com/jifen_setup/2345pack_k1023838351_v2.5.exe
- my.##da123.com/down28/ydcidian28_6724.exe
- my.##da123.com/down13/kwmusic16_6724.exe
UDP:
- DNS ASK my.##da123.com
- DNS ASK j.#####.ijinshan.com
- DNS ASK do####ad.2345.com
- DNS ASK un###.ijinshan.com
Другое:
Ищет следующие окна:
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'BaseBar' WindowName: 'ChanApp'
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'CSCHiddenWindow' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'OleMainThreadWndClass' WindowName: ''
- ClassName: '' WindowName: '????2345????????????V2.6'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: 'Windows Task Manager'
- ClassName: 'Progman' WindowName: 'Program Manager'
- ClassName: '' WindowName: '????'
- ClassName: '' WindowName: ''
