Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\my.ini
- %CommonProgramFiles%\tk.reg
- %CommonProgramFiles%\kuzgbkyka.ipbqt
- D:\program files\common\gbnonccbq.vbs
- C:\about blank.htm
- <Текущая директория>\killme.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- %CommonProgramFiles%\kuzgbkyka.ipbqt
- C:\about blank.htm
Удаляет следующие файлы
- %CommonProgramFiles%\tk.reg
Самоудаляется.
Сетевая активность
Подключается к
- 'up.##36688.com':80
- 'u.###6688.com':80
TCP
Запросы HTTP GET
- http://up.##36688.com/data.txt
- http://u.###6688.com/data.txt
- http://u.###6688.com/ver.txt
UDP
- DNS ASK up.##36688.com
- DNS ASK u.###6688.com
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'Progman' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' <Текущая директория>\Killme.vbs
- '%WINDIR%\syswow64\cmd.exe' /c regedit /s "%CommonProgramFiles%\tk.reg"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c regedit /s "%CommonProgramFiles%\tk.reg"
- '%WINDIR%\syswow64\regedit.exe' /s "%CommonProgramFiles%\tk.reg"
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %CommonProgramFiles%\kuzgbkyka.ipbqt
- '%WINDIR%\syswow64\wscript.exe' "D:\Program Files\Common\gbnonccbq.vbs"
