Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Classes\icofile\shell\Open\Command] '' = '"<SYSTEM32>\WScript.exe" "%1" "%*"'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\Kingsoft Antivirus WebShield Service] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\Kingsoft Antivirus WebShield Service] 'ImagePath' = '%ALLUSERSPROFILE%\wd\KSWebShield.exe'
Создает следующие сервисы
- 'Kingsoft Antivirus WebShield Service' %ALLUSERSPROFILE%\wd\KSWebShield.exe
Вредоносные функции
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль wininet.dll
- Процесс iexplore.exe, модуль urlmon.dll
- Процесс firefox.exe, модуль urlmon.dll
- Процесс iexplore.exe, модуль wininet.dll
- Процесс iexplore.exe, модуль advapi32.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsx25f8.tmp
- %ProgramFiles(x86)%\internet explorer\connection wizard\tbgw.dat
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\ìúñ¶ qq.lnk
- %ProgramFiles(x86)%\tencent\ìúñ¶qq.lnk
- %ProgramFiles(x86)%\tencent\qq\bin\3579100.ico
- %ProgramFiles(x86)%\tencent\qq\bin\246810.bat
- C:\users\public\desktop\internat explorar.lnk
- %ALLUSERSPROFILE%\wd\kwssvc.log
- %TEMP%\nsm2608.tmp\nsexec.dll
- %ProgramFiles(x86)%\internet explorer\connection wizard\icwd.dat
- C:\users\public\desktop\ìô±¦¹ºîï.url
- %ProgramFiles(x86)%\internet explorer\connection wizard\msie.icw
- %WINDIR%\tbgw.ico
- %ALLUSERSPROFILE%\kingsoft\kws\kws.ini
- %ALLUSERSPROFILE%\wd\l.bat
- %ALLUSERSPROFILE%\wd\kwsui.dll
- %ALLUSERSPROFILE%\wd\kwssp.dll
- %ALLUSERSPROFILE%\wd\kswebshield.dll
- %ALLUSERSPROFILE%\wd\kswbc.dll
- %ALLUSERSPROFILE%\wd\kswebshield.exe
- %TEMP%\nsm2608.tmp\findprocdll.dll
- %TEMP%\nsm2608.tmp\accesscontrol.dll
- %TEMP%\temp_tmp.bat
Удаляет следующие файлы
- %TEMP%\nsm2608.tmp\accesscontrol.dll
- %TEMP%\nsm2608.tmp\findprocdll.dll
- %TEMP%\nsm2608.tmp\nsexec.dll
Самоудаляется.
Другое
Ищет следующие окна
- ClassName: 'kws::OSUCWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\wd\kswebshield.exe' -install
- '%ALLUSERSPROFILE%\wd\kswebshield.exe' -start
- '%ALLUSERSPROFILE%\wd\kswebshield.exe'
- '%ALLUSERSPROFILE%\wd\kswebshield.exe' -run
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\wd\l.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ProgramFiles(x86)%\Internet Explorer\Connection Wizard\icwd.dat" "C:\Users\Public\Desktop\Internat Explorar.lnk" /y' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ProgramFiles(x86)%\Tencent\ÌÚѶQQ.lnk" "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Startup\ÌÚѶ QQ.lnk" /y' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ProgramFiles(x86)%\Internet Explorer\Connection Wizard\tbgw.dat" "C:\Users\Public\Desktop\ÌÔ±¦¹ºÎï.url" /y' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\temp_tmp.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\wd\l.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ProgramFiles(x86)%\Internet Explorer\Connection Wizard\icwd.dat" "C:\Users\Public\Desktop\Internat Explorar.lnk" /y
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ProgramFiles(x86)%\Tencent\ÌÚѶQQ.lnk" "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Startup\ÌÚѶ QQ.lnk" /y
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ProgramFiles(x86)%\Internet Explorer\Connection Wizard\tbgw.dat" "C:\Users\Public\Desktop\ÌÔ±¦¹ºÎï.url" /y
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\temp_tmp.bat" "
