Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\wbabc\wbabcsm.dll'
- '%TEMP%\wbabc\upsetup.exe' 1.03,#32770
- '%TEMP%\wbabc\WBABC_SKIN.EXE'
- '%TEMP%\wbabc\wb.dll' -html=~temp
Запускает на исполнение:
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\ipconfig.exe' /all
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\wbabc\01.gif
- %TEMP%\wbabc\17.gif
- %TEMP%\wbabc\wbabc_ico.ico
- %HOMEPATH%\My Documents\iTЦъКЦ.exe
- %TEMP%\wbabc\tools.gif
- %TEMP%\wbabc\upsetup.exe
- %TEMP%\wbabc\load.html
- %TEMP%\wbabc\topstyle.css
- %TEMP%\wbabc\topbg.jpg
- %TEMP%\wbabc\top.html
- %TEMP%\wbabc\max.gif
- %TEMP%\wbabc\wbabcsm
- %TEMP%\wbabc\wb.dll
- %TEMP%\wbabc\sysinfo.dat
- %TEMP%\wbabc\ip.dat
- %TEMP%\wbabc\wbabchdd.tmp
- %TEMP%\wbabc\wb_ver.rar
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\wbver[1].rar
- %TEMP%\wbabc\all.html
- %TEMP%\wbabc\txtall.html
- %TEMP%\cpuz_driver_3052.log
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\topad[1].html
- %HOMEPATH%\Desktop\iTЦъКЦ.lnk
- %TEMP%\wbabc\1.htm
- %TEMP%\wbabc\~temp.htm
- %TEMP%\cpuz136\cpuz136_x32.sys
- %TEMP%\wbabc\scan.html
- %TEMP%\wbabc\graphics.gif
- %TEMP%\wbabc\gdiplus.dll
- %TEMP%\wbabc\dvd.gif
- %TEMP%\wbabc\keymouse.gif
- %TEMP%\wbabc\jquery-1.9.0.js
- %TEMP%\wbabc\hdd.gif
- %TEMP%\wbabc\diy.gif
- %TEMP%\wbabc\audio.gif
- %TEMP%\wbabc\wbabcsm.dll
- %TEMP%\wbabc\WBABC_SKIN.EXE
- %TEMP%\wbabc\cpu.gif
- %TEMP%\wbabc\close.gif
- %TEMP%\wbabc\baseboard.gif
- %TEMP%\wbabc\net.gif
- %TEMP%\wbabc\monitor.gif
- %TEMP%\wbabc\min.gif
- %TEMP%\wbabc\pc_t.gif
- %TEMP%\wbabc\pc.gif
- %TEMP%\wbabc\newpc.gif
- %TEMP%\wbabc\memory.gif
- %TEMP%\wbabc\local_foot.html
- %TEMP%\wbabc\local.css
- %TEMP%\wbabc\loading.gif
- %TEMP%\wbabc\logo.gif
- %TEMP%\wbabc\local_top.js
- %TEMP%\wbabc\local_top.html
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\wbabc\gdiplus.dll
Удаляет следующие файлы:
- %TEMP%\wbabc\ip.dat
- %TEMP%\wbabc\sysinfo.dat
- %TEMP%\wbabc\~temp.htm
- %TEMP%\wbabc\wbabcsm.dll
- %TEMP%\cpuz136\cpuz136_x32.sys
- %TEMP%\cpuz_driver_3052.log
- %TEMP%\wbabc\wbabchdd.tmp
Сетевая активность:
Подключается к:
- 'localhost':1039
- 'ba####.gotoip4.com':80
- 'localhost':1036
- 'www.kk#j.cn':80
TCP:
Запросы HTTP GET:
- ba####.gotoip4.com/up/wbver.rar
- www.kk#j.cn/topad.html
UDP:
- DNS ASK ba####.gotoip4.com
- DNS ASK www.kk#j.cn
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MPWClass' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
