Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\WINIO] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\login_web.dat'
- '<Текущая директория>\vip_web.dat'
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: <Текущая директория>\tfbift.dll
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\web\vip\vip.html
- <Текущая директория>\web\vip\NoVip.html
- <Текущая директория>\web\vip\images\vipweb_title1.gif
- <Текущая директория>\web\login\images\login_index_02_03.gif
- <Текущая директория>\web\login\images\login_index_02_01.gif
- <Текущая директория>\web\login\images\login_index_01.gif
- <Текущая директория>\web\vip\images\vipweb_pic1.gif
- <Текущая директория>\web\vip\images\vipweb_bg2.gif
- <Текущая директория>\web\vip\images\vipweb_bg1.gif
- <Текущая директория>\web\vip\images\vipweb_05.gif
- <Текущая директория>\web\vip\images\vipweb_icon1.gif
- <Текущая директория>\web\vip\images\vipweb_but2.gif
- <Текущая директория>\web\vip\images\vipweb_but1.gif
- <Текущая директория>\web\login\login_index.html
- <Текущая директория>\web\login\images\Thumbs.db
- <Текущая директория>\web\login\images\login_index_but1.gif
- <Текущая директория>\tfbift.dll
- <Текущая директория>\rename.ini
- <Текущая директория>\јтµҐУО.exe
- <Текущая директория>\web\login\images\login_index_04.gif
- <Текущая директория>\web\login\images\login_index_03_03.gif
- <Текущая директория>\web\login\images\login_index_03_02.gif
- <Текущая директория>\web\login\images\login_index_03_01.gif
- <Текущая директория>\web\login\images\login_index_03_06.gif
- <Текущая директория>\web\login\images\login_index_03_05.gif
- <Текущая директория>\web\login\images\login_index_03_04.gif
- <Текущая директория>\WINIO.VXD
- <Текущая директория>\BException.dll
- <Текущая директория>\cfgdll.dll
- <Текущая директория>\web\vip\images\1.gif
- <Текущая директория>\cooperate\liveupdate.dll
- <SYSTEM32>\QMDispatch.dll
- <Текущая директория>\LiveUpdate.dll
- <Текущая директория>\vip_web.dat
- <Текущая директория>\WinIo.dll
- <Текущая директория>\WinIo.sys
- <Текущая директория>\login_web.dat
- <Текущая директория>\QMDispatch.dll
- <Текущая директория>\stdlib.vbs
- <Текущая директория>\web\vip\images\vipweb_02_01.gif
- <Текущая директория>\web\vip\images\vipweb_02.gif
- <Текущая директория>\web\vip\images\vipweb_01.gif
- <Текущая директория>\web\vip\images\vipweb_04.gif
- <Текущая директория>\web\vip\images\vipweb_02_bg1.gif
- <Текущая директория>\web\vip\images\vipweb_02_03.gif
- <Текущая директория>\web\vip\images\vipweb2_icon2.gif
- <Текущая директория>\web\vip\images\Thumbs.db
- <Текущая директория>\web\vip\images\3.gif
- <Текущая директория>\web\vip\images\2.gif
- <Текущая директория>\web\vip\images\vipweb2_icon.gif
- <Текущая директория>\web\vip\images\vipweb2_ad1.gif
- <Текущая директория>\web\vip\images\vipweb2_1.gif
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\web\login\images\Thumbs.db
- <Текущая директория>\web\vip\images\Thumbs.db
Сетевая активность:
Подключается к:
- 'do##.jdyou.com':80
UDP:
- DNS ASK www.jd##u.com
- DNS ASK co###.jdyou.com
- DNS ASK DO##.JDYOU.COM
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
