Adware.Baidu.587

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Nlap] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\rkxti] 'Start' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SENSMGR] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\Messenger\smsetup.exe'
'%TEMP%\Messenger\setup_4\setup_4.exe'
'<SYSTEM32>\mstsvr.exe' /service
'<SYSTEM32>\mstsvr.exe'
'%PROGRAM_FILES%\Microsoft Office\SYSTEM\sysbar.exe'
'<SYSTEM32>\knuxa.exe' /service
'%TEMP%\Messenger\setup.exe' <Имя вируса>
'<SYSTEM32>\knuxa.exe'
'%TEMP%\Messenger\kunet\kunet.exe'
'%TEMP%\Messenger\TBSetup\TBSetup(-33554378).exe'

Запускает на исполнение:

'<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\zzToolBar\Toolbar_bho.dll"
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\l407F2.bat
'<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\zzToolBar\ToolBand.dll"
'<SYSTEM32>\ping.exe' -n 3 127.0.0.1
'<SYSTEM32>\net1.exe' start Nlap
'<SYSTEM32>\rundll32.exe' "%WINDIR%\lpxcf.dll",DllCanUnloadNow
'<SYSTEM32>\net1.exe' start SENSMGR
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\_uninsep.bat" "
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\fvR6bY.dll,DllUnregisterServer
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\fvR6bY.dll,DllRegisterServer

Завершает или пытается завершить

следующие пользовательские процессы:

iexplore.exe

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\zzToolBar\SearchEngineConfig
%PROGRAM_FILES%\zzToolBar\IP.dat
<SYSTEM32>\l407F2.bat
%PROGRAM_FILES%\zzToolBar\Toolbar_bho.dll
%WINDIR%\mamtk.ini
%TEMP%\adorder.ini
%PROGRAM_FILES%\zzToolBar\ToolBand.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\_inimac
%PROGRAM_FILES%\zzToolBar\Uninstall.exe
%WINDIR%\Temp\mtsvr.ini
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\MOE00UY1\update[1].htm
%WINDIR%\Temp\kbietmp2.ini
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\BGGTYMH1\index[1].htm
%WINDIR%\Temp\kbietmp.ini
<SYSTEM32>\msconid.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\gt[1].asp
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\LBMMC3H3\index0921[1].htm
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\LBMMC3H3\rp[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\gt[1].asp
%TEMP%\Messenger\sysvc.dat
%TEMP%\Messenger\sysmain.dat
%TEMP%\Messenger\kunet\kunet.exe
%TEMP%\Messenger\TBSetup\TBSetup(-33554378).exe
%TEMP%\Messenger\smsetup.exe
%TEMP%\Messenger\mtsvr.ini
%TEMP%\Messenger\mstsvr.exe
%TEMP%\Messenger\setup.exe
%TEMP%\Messenger\nvsys.ini
%TEMP%\Messenger\setup_4\setup_4.exe
<DRIVERS>\rkxti.sys
%TEMP%\nsp3.tmp\Processes.dll
%PROGRAM_FILES%\Microsoft Office\SYSTEM\07.exe
%TEMP%\nsv5.tmp\System.dll
<SYSTEM32>\fvR6bY.dll
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\update[1].htm
%WINDIR%\mssrcid.ini
%TEMP%\_uninsep.bat
%WINDIR%\Temp\ntekp.ini

Удаляет следующие файлы:

%TEMP%\Messenger\smsetup.exe
%TEMP%\Messenger\setup_4\setup_4.exe
%PROGRAM_FILES%\Microsoft Office\SYSTEM\sysbar.exe
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\LBMMC3H3\rp[1].asp
%TEMP%\nsv5.tmp\System.dll
%TEMP%\Messenger\setup.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\gt[1].asp
%TEMP%\nsp3.tmp\Processes.dll

Перемещает следующие файлы:

%TEMP%\Messenger\mtsvr.ini в <SYSTEM32>\mtsvr.ini
%TEMP%\Messenger\mstsvr.exe в <SYSTEM32>\mstsvr.exe
%PROGRAM_FILES%\Microsoft Office\SYSTEM\07.exe в %PROGRAM_FILES%\Microsoft Office\SYSTEM\sysbar.exe
%TEMP%\Messenger\sysvc.dat в <SYSTEM32>\knuxa.exe
%TEMP%\Messenger\nvsys.ini в <SYSTEM32>\mrbgk.ini
%TEMP%\Messenger\sysmain.dat в %WINDIR%\lpxcf.dll

Сетевая активность:

Подключается к:

'www.40##ang.cn':80
'lo####.51edm.net':1207
'd3.##iinn.com':80
'd.###h888.com':80

TCP:

Запросы HTTP GET:

d.###h888.com/myconfig/index0921.htm
d.###h888.com/page/rp.asp?ve###############################################################################################
d3.##iinn.com/myconfig/index.htm
d.###h888.com/up/update.htm
d3.##iinn.com/page/gt.asp?ve#################################################################################################
d3.##iinn.com/up/update.htm
www.40##ang.cn/gi/gi.php?bX##########################################################################################
d.###h888.com/page/gt.asp?ve#################################################################################################################

UDP:

DNS ASK www.40##ang.cn
DNS ASK lo####.51edm.net
DNS ASK d3.##iinn.com
DNS ASK d.###h888.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'Shell_TrayWnd'
ClassName: '{D4676B89-70AC-4D6E-896C-B24E5C65173C}' WindowName: '{D4676B89-70AC-4D6E-896C-B24E5C65173C}'
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'AUTOLIVE_CLASS_6B95EFA3-F8EB-4112-8BF1-88470330EB61' WindowName: 'AUTOLIVE_WND_6B95EFA3-F8EB-4112-8BF1-88470330EB61'