Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\inl3.tmp'
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' add "HKCR\CLSID\{971C5380-92A0-5A69-B3EE-C3002B33309E}" /v "IsShortCut" /d "" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\tmp" /v "key" /d ""http://www.82##3.com/?o"" /f
- '<SYSTEM32>\attrib.exe' +s +h %APPDATA%\PPLive\tmp\a.{971C5380-92A0-5A69-B3EE-C3002B33309E}
- '<SYSTEM32>\reg.exe' add "HKCR\CLSID\{971C5380-92A0-5A69-B3EE-C3002B33309E}\Shell\open(&H)\Command" /v "" /d "wscript -e:vbs ""%APPDATA%\PPLive\3.bat""" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d ""http://www.82##3.com/?o"" /f
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' Explorer\IEXPLORE.EXE http://WW#.##kankan.com/?82###
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\julia_fun219.bat" "
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d ""http://www.82##3.com/?o"" /f
- '<SYSTEM32>\rundll32.exe' syssetup,SetupInfObjectInstallAction DefaultInstall 128 %APPDATA%\PPLive\1.inf
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\PPLive\┐┤┐┤╡ч╙░.url
- %APPDATA%\PPLive\░╦╪╘╔л═╝.url
- %APPDATA%\PPLive\├└┼о└╓╘░.url
- %TEMP%\julia_fun219.bat
- C:\zwok\xzok.bat
- %TEMP%\inl3.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cnkankan[1]
- %PROGRAM_FILES%\Internet Explorer\ieframe.dll
- %APPDATA%\ampw.ooe.ini
- %APPDATA%\PPLive\╠╘▒ж╣║╬я.url
- %APPDATA%\PPLive\╟з═┼═┼╣║.url
- %APPDATA%\PPLive\1.inf
- %APPDATA%\1.tmp
- %APPDATA%\PIPI\bagua.ico
- %APPDATA%\PIPI\kankan.ico
- %TEMP%\winrar_config.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\light[1].mp3
- %APPDATA%\2.tmp
- %APPDATA%\PPLive\1.bat
- %APPDATA%\PPLive\2.bat
- %APPDATA%\PPLive\4.bat
- %APPDATA%\PIPI\meinv.ico
- %APPDATA%\PIPI\taobao.ico
- %APPDATA%\PIPI\1000tuan.ico
Сетевая активность:
Подключается к:
- 'www.cn###kan.com':80
- 'localhost':1040
- 'localhost':1038
- 'localhost':1035
- 'kp.#n9n.net':80
TCP:
Запросы HTTP GET:
- www.cn###kan.com/?82###
- kp.#n9n.net/light.mp3
UDP:
- DNS ASK ju###.35638.com
- DNS ASK www.cn###kan.com
- DNS ASK kp.#n9n.net
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
