Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Counter' = '"%PROGRAM_FILES%\Counter\Counter.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\21.exe' 7855
- '%PROGRAM_FILES%\Microsoft Office\SYSTEM\sysbar.exe'
- '%PROGRAM_FILES%\Counter\counter.exe'
- '%TEMP%\1231.exe'
- '%TEMP%\10085.exe'
- '%TEMP%\msn055.exe'
- '%TEMP%\taskmgr.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' "%WINDIR%\Intel\baiduc.dll" /s
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsiC.tmp\System.dll
- %ALLUSERSPROFILE%\Start Menu\Programs\јЖЛгЖч\јЖЛгЖчР¶ФШ.lnk
- %TEMP%\nsg4.tmp\Senddata.dll
- %TEMP%\nsyB.tmp
- %TEMP%\nsw9.tmp\System.dll
- %PROGRAM_FILES%\Microsoft Office\SYSTEM\14.exe
- %ALLUSERSPROFILE%\Start Menu\Programs\јЖЛгЖч\јЖЛгЖч.lnk
- %WINDIR%\Intel\baiduc.dll
- <SYSTEM32>\Com\Config.cfg
- <SYSTEM32>\comarshal.dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\games.iq368[1]
- <SYSTEM32>\Com\1.1.6\WndHook.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\_inimac
- <SYSTEM32>\B4eocaps.SRG
- <SYSTEM32>\mprmsgse.axz
- %HOMEPATH%\Favorites\ЎпЎпЎпЎпЎпНшТіУОП·-ФЪПЯНшТіРЎУОП·-Гв·СФЪПЯНшТіРЎУОП·ЎпЎпЎпЎпЎп.url
- %TEMP%\1231.exe
- %PROGRAM_FILES%\Counter\EULA.txt
- %PROGRAM_FILES%\Counter\HtmlPeek.dll
- %TEMP%\taskmgr.exe
- %TEMP%\nso2.tmp
- %TEMP%\10085.exe
- %TEMP%\msn055.exe
- %PROGRAM_FILES%\Counter\counter.exe
- %HOMEPATH%\Favorites\¦а¦а¦аТЅС§№Еј®Ў¶ТЅЧЪЅрјшЎ·ФЪПЯФД¶Б¦а¦а¦а.url
- %HOMEPATH%\Favorites\ЁxЁyЁzЁ{ЁЁ}Ё~QQёцРФ-QQїХјдґъВл-QQЗ©ГыЁ~Ё}ЁЁ{ЁzЁyЁx.url
- %HOMEPATH%\Favorites\ЎпЎпЎпЎпЎпКЗЦР№ъИЛѕНЅшАґ-ФЪПЯРЎУОП·-ПтІјКІИУР¬ЧУЎпЎпЎпЎпЎп.url
- %HOMEPATH%\Favorites\ЁqЎоЁrїЄРДР¦»°НшЁqЎоЁr°йДгїЄРДГїТ»МмЁqЎоЁr.url
- %PROGRAM_FILES%\Counter\uninstall.exe
- %TEMP%\nsy6.tmp\System.dll
- %TEMP%\21.exe
Удаляет следующие файлы:
- %TEMP%\nsy6.tmp\System.dll
- %TEMP%\nsg4.tmp\Senddata.dll
- %TEMP%\21.exe
- %TEMP%\nsw9.tmp\System.dll
- %TEMP%\nsiC.tmp\System.dll
Перемещает следующие файлы:
- %PROGRAM_FILES%\Microsoft Office\SYSTEM\14.exe в %PROGRAM_FILES%\Microsoft Office\SYSTEM\sysbar.exe
Сетевая активность:
Подключается к:
- 'localhost':1043
- 'r.###ntech.com':1207
- 'ga###.iq368.com':80
- 'lo###.##oyoukongjian.com':1207
- 're####e.51edm.net':80
- 'www.1c#t.cn':80
- 'localhost':1040
TCP:
Запросы HTTP GET:
- ga###.iq368.com/
- re####e.51edm.net/geturl.php?q=###############################################################################################################################################################################################################################
Запросы HTTP POST:
- www.1c#t.cn/in.php
UDP:
- DNS ASK r.###ntech.com
- DNS ASK ga###.iq368.com
- DNS ASK lo###.##oyoukongjian.com
- DNS ASK re####e.51edm.net
- DNS ASK www.1c#t.cn
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
