Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Classes\.hzdh\shell\open\command] '' = 'IEXPLORE.EXE http://www.35yes.com/?wj'
- [<HKLM>\SOFTWARE\Classes\.hzyx\shell\open\command] '' = 'IEXPLORE.EXE http://www.d91d.com/?wj'
- [<HKLM>\SOFTWARE\Classes\.hztb\shell\open\command] '' = 'IEXPLORE.EXE http://taobao.loliso.com/?wj'
- [<HKLM>\Software\Classes\.\shell\open\command\] '' = 'rundll32.exe %WINDIR%\staticial\cmss.jyc,scanMiddle'
- [<HKLM>\Software\Classes\ttc\shell\open\command\] '' = '%ProgramFiles%\MOZILL~1\firefox.exe http:\\www.henbucuo.com\?new'
- [<HKLM>\Software\Classes\ttf\shell\open\command\] '' = '%ProgramFiles%\Opera\launcher.exe http:\\www.henbucuo.com\?new'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- расширений файлов
Запускает на исполнение
- '%ProgramFiles%\internet explorer\iexplore.exe' http://dl.###link.cn:1287/CPAdown/haozip_tiny.200629.html
- '%ProgramFiles%\internet explorer\iexplore.exe' http://dl.###link.cn:1287/CPAdown/vplay.html
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\desktop\internet expleror.hzdh
- C:\internet expleror.hzdh
- %ALLUSERSPROFILE%\microsoft\windows\start menu\internet expleror.hzdh
- C:\wi67e.exe
- %ProgramFiles%\staticial\cmss.jyc
- %WINDIR%\staticial\cmss.jyc
- %ProgramFiles%\staticial\csrg.jpc
- %WINDIR%\staticial\csrg.jpc
- %ProgramFiles%\staticial\config.ini
- %WINDIR%\staticial\config.ini
- C:\lvek6r.exe
- %WINDIR%\temp\2020.tmp
- %WINDIR%\data.dat
- %ProgramFiles%\internet explorer\hmmapis.dll
- %ProgramFiles%\staticial\dd.vbs
- C:\oied.bak.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\public\desktop\internet expleror.hzdh
- C:\internet expleror.hzdh
- %ALLUSERSPROFILE%\microsoft\windows\start menu\internet expleror.hzdh
- C:\wi67e.exe
- C:\lvek6r.exe
Удаляет следующие файлы
- %WINDIR%\temp\2020.tmp
- C:\wi67e.exe
- C:\oied.bak.vbs
- %ProgramFiles%\staticial\dd.vbs
Сетевая активность
UDP
- DNS ASK dl.##nlink.cn
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "c:\oied.bak.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%ProgramFiles%\staticial\dd.vbs"
- 'C:\lvek6r.exe'
- 'C:\wi67e.exe'
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r Users' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r "user' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r "Authenticated Users"' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r "Power Users"' (со скрытым окном)
- 'C:\wi67e.exe' ' (со скрытым окном)
- 'C:\lvek6r.exe' ' (со скрытым окном)
- '%ProgramFiles%\internet explorer\iexplore.exe' http://dl.###link.cn:1287/CPAdown/haozip_tiny.200629.html' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' %WINDIR%\staticial\cmss.jyc,scanMiddle' (со скрытым окном)
- '%WINDIR%\syswow64\wscript.exe' "%ProgramFiles%\staticial\dd.vbs"' (со скрытым окном)
- '%WINDIR%\syswow64\wscript.exe' "c:\oied.bak.vbs"' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /G Everyone:r' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /all > %WINDIR%\Temp\2020.tmp' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r Administrators' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r "Power Users"' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /G Everyone:r' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r Administrators' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r Users' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r Administrators' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r System' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r "Power Users"' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r "Authenticated Users"' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r "user' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r System' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r "Authenticated Users"' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /G Everyone:r' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r Users' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r "user' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r System' (со скрытым окном)
- '%ProgramFiles%\internet explorer\iexplore.exe' http://dl.###link.cn:1287/CPAdown/vplay.html' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /G Everyone:r
- '%WINDIR%\syswow64\rundll32.exe' %WINDIR%\staticial\cmss.jyc,scanMiddle
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /all > %WINDIR%\Temp\2020.tmp
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r "Power Users"
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r "Authenticated Users"
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r "user
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r Users
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r System
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /r Administrators
- '%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Internet Expleror.hzdh" /e /c /G Everyone:r
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r "Power Users"
- '%WINDIR%\syswow64\ipconfig.exe' /all
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r "Authenticated Users"
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r Users
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /G Everyone:r
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r "Authenticated Users"
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r System
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r Administrators
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r "user
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r "Power Users"
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r System
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r Administrators
- '%WINDIR%\syswow64\cacls.exe' "C:\Users\Public\Desktop\Internet Expleror.hzdh" /e /c /r Users
- '%WINDIR%\syswow64\cacls.exe' "\Internet Expleror.hzdh" /e /c /r "user
- '%WINDIR%\syswow64\rundll32.exe' C:\Progra~1\staticial\csrg.jpc,scanCook
