Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\asd125q.exe'
- '%PROGRAM_FILES%\Garss.exe' "C:\Documents and Settings\QQCRT.DLL" Main
- '%PROGRAM_FILES%\asd124q.exe'
- '%PROGRAM_FILES%\1.exe'
- '%PROGRAM_FILES%\asd123q.exe'
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders" /v Startup /t REG_SZ /d "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\│╠╨Є\Startup" /f
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /v Startup /t REG_SZ /d "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\│╠╨Є\Startup" /f
- '<SYSTEM32>\attrib.exe' "%HOMEPATH%\\б╕┐к╩╝б╣▓╦╡е\│╠╨Є\Startup" +r +a +s +h /s /d
- '<SYSTEM32>\net.exe' stop sharedacess
- '<SYSTEM32>\net1.exe' stop sharedacess
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Garss.exe
- %HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\│╠╨Є\Startup\gz.url
- %TEMP%\189296_res.tmp
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\fifo.log
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\12[1].txt
- %PROGRAM_FILES%\asd125q.exe
- %PROGRAM_FILES%\asd123q.exe
- %PROGRAM_FILES%\1.exe
- %TEMP%\bt40487.bat
- %PROGRAM_FILES%\asd124q.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\bt40487.bat
Удаляет следующие файлы:
- %TEMP%\bt40487.bat
Перемещает следующие файлы:
- %TEMP%\189296_res.tmp в C:\Documents and Settings\QQCRT.DLL
- %PROGRAM_FILES%\asd125q.exe в %PROGRAM_FILES%\QQ.EXE
Сетевая активность:
Подключается к:
- 'do###.jpdesk.com':81
- 'ne#####.funshion.com':80
- 'do###.jpdesk.com':80
- 'd2.###rotect.net':80
- 'd2.###rotect.net':90
- 'jh##.tt7.in':80
- 'dl###r2.qq.com':80
- 'a.##hh.in':80
- 'hk####3875.3322.org':319
- 'www.du###obox.com':80
TCP:
Запросы HTTP GET:
- ne#####.funshion.com/download/silent/64352/FunshionInstall.exe
- do###.jpdesk.com/jpdesk_3024_Setup.exe
- d2.###rotect.net/asd124q4.exe
- dl###r2.qq.com/invc/qqpcmgr/other/QQPCDownload60116.exe
- jh##.tt7.in/12.txt
- www.du###obox.com/download/xl/DuoDuoBoxSetup_Silent_xljipin_1.20.exe
UDP:
- DNS ASK ne#####.funshion.com
- DNS ASK hk####3875.3322.org
- DNS ASK d2.###rotect.net
- DNS ASK do###.jpdesk.com
- DNS ASK jh##.tt7.in
- DNS ASK dl###r2.qq.com
- DNS ASK www.du###obox.com
- DNS ASK a.##hh.in
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
