Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\WYGM.exe" name="ÍæÓÎÏ·ºÐ¹ÜÀГÆ÷" mode=ENABLE scope=ALL
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\WYDLPlatform.exe" name="ÍæÓÎÏ·ºÐÏÂÔГƽ̨" mode=ENABLE scope=ALL
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\WYFlash.exe" name="ÍæÓÎÏ·ºÐflashÓÎÏ·³ÌÐò" mode=ENABLE scope=ALL
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\tool\WYRTLFix.exe" name="ÍæÓÎÏ·ºÐÔËÐпâ¼ì²â³ÌÐò" mode=ENABLE scope=ALL
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\tool\WYPluginFix.exe" name="ÍæÓÎÏ·ºÐÏÂÔГ¹ÊÕϼì²â³ÌÐò" mode=ENABLE scope=ALL
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nso5909.tmp
- %ProgramFiles(x86)%\wanyx\tool\msvcp80.dll
- %ProgramFiles(x86)%\wanyx\tool\msvcr80.dll
- %APPDATA%\wanyx\data\database.gmx
- %APPDATA%\wanyx\data\plugin\hot.gmx
- %APPDATA%\wanyx\data\plugin\top.gmx
- %APPDATA%\wanyx\data\plugin\scan.gmx
- %APPDATA%\wanyx\data\plugin\netwl.gmx
- %APPDATA%\wanyx\data\plugin\inwl.gmx
- %APPDATA%\wanyx\data\plugin\pc.gmx
- %ProgramFiles(x86)%\wanyx\audio\complete.wav
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\玩游戏盒.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\Гæóîï·ºð.lnk
- %HOMEPATH%\desktop\Гæóîï·ºð.lnk
- %HOMEPATH%\desktop\Гæóîï·ò³óî´óìü.lnk
- %APPDATA%\microsoft\windows\start menu\programs\Гæóîï·ºð\Гæóîï·ºð.lnk
- %APPDATA%\microsoft\windows\start menu\programs\Гæóîï·ºð\Гæóîï·flash²¥·åæ÷.lnk
- %APPDATA%\microsoft\windows\start menu\programs\Гæóîï·ºð\Гæóîï·ò³óî´óìü.lnk
- %APPDATA%\microsoft\windows\start menu\programs\Гæóîï·ºð\ð¶ôøГæóîï·ºð.lnk
- %TEMP%\gmtemp\restart.gmt
- %APPDATA%\wanyx\data\local\recent.xml
- %APPDATA%\wanyx\data\local\user.xml
- %APPDATA%\wanyx\data\search.gms-journal
- %APPDATA%\wanyx\data\search.gms
- %ProgramFiles(x86)%\wanyx\tool\microsoft.vc80.crt.manifest
- %APPDATA%\wanyx\config\config.xml
- %ProgramFiles(x86)%\wanyx\tool\wypluginfix.exe
- %ProgramFiles(x86)%\wanyx\tool\wymini.exe
- %TEMP%\nso590a.tmp\system.dll
- %TEMP%\nso590a.tmp\wynsisminiextend.dll
- %ProgramFiles(x86)%\wanyx\wygm.exe
- %ProgramFiles(x86)%\wanyx\wyflash.exe
- %ProgramFiles(x86)%\wanyx\wybrowser.exe
- %ProgramFiles(x86)%\wanyx\wyweb.exe
- %ProgramFiles(x86)%\wanyx\wyupdate.exe
- %ProgramFiles(x86)%\wanyx\wyversion.dll
- %ProgramFiles(x86)%\wanyx\wybugreport.exe
- %ProgramFiles(x86)%\wanyx\wyurlencrypt.dll
- %ProgramFiles(x86)%\wanyx\wycommon.dll
- %ProgramFiles(x86)%\wanyx\wydlutils.dll
- %ProgramFiles(x86)%\wanyx\wydlplatform.exe
- %ProgramFiles(x86)%\wanyx\wyuirender.dll
- %ProgramFiles(x86)%\wanyx\microsoft.vc80.crt.manifest
- %ProgramFiles(x86)%\wanyx\msvcp80.dll
- %ProgramFiles(x86)%\wanyx\msvcr80.dll
- %ProgramFiles(x86)%\wanyx\uninstall.exe
- %ProgramFiles(x86)%\wanyx\tool\wybubble.exe
- %ProgramFiles(x86)%\wanyx\tool\wycommon.dll
- %ProgramFiles(x86)%\wanyx\tool\wyuirender.dll
- %ProgramFiles(x86)%\wanyx\tool\wydlutils.dll
- %ProgramFiles(x86)%\wanyx\tool\wytip.exe
- %ProgramFiles(x86)%\wanyx\tool\wyrtlfix.exe
- %APPDATA%\wanyx\cache.xml
Удаляет следующие файлы
- %TEMP%\nso590a.tmp\system.dll
- %TEMP%\nso590a.tmp\wynsisminiextend.dll
- %APPDATA%\wanyx\data\search.gms-journal
Подменяет следующие файлы
- %APPDATA%\wanyx\data\search.gms-journal
Сетевая активность
Подключается к
- 'up####.wanyxbox.com':80
- 'st##.#anyxbox.com':80
- 'se#####.wanyxbox.com':80
- 'ic##.#anyxbox.com':80
UDP
- DNS ASK up####.wanyxbox.com
- DNS ASK st##.#anyxbox.com
- DNS ASK se#####.wanyxbox.com
- DNS ASK ic##.#anyxbox.com
Другое
Ищет следующие окна
- ClassName: 'GMBubbleWnd' WindowName: ''
- ClassName: 'WanyxGMWnd' WindowName: 'ÍæÓÎÏ·ºÐ'
- ClassName: '' WindowName: 'ÍæÓÎÏ·FlashÓÎÏ·'
- ClassName: '' WindowName: 'ÍæÓÎÏ·ºÐä¯ÀÀÆ÷'
- ClassName: 'Progman' WindowName: 'Program Manager'
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: 'FolderView'
- ClassName: '' WindowName: '玩游戏Flash游戏'
- ClassName: '' WindowName: '玩游戏盒浏览器'
- ClassName: '' WindowName: '玩游戏升级提示'
- ClassName: '' WindowName: '玩游戏版本更新'
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\wanyx\wygm.exe' -update_data
- '%ProgramFiles(x86)%\wanyx\wyupdate.exe' -install
- '%ProgramFiles(x86)%\wanyx\wygm.exe' -atonce
- '%ProgramFiles(x86)%\wanyx\tool\wybubble.exe' -query_action
- '%ProgramFiles(x86)%\wanyx\wyupdate.exe' -update -delay=3 -type=1
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\WYFlash.exe" name="ÍæÓÎÏ·ºÐflashÓÎÏ·³ÌÐò" mode=ENABLE scope=ALL' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\WYGM.exe" name="ÍæÓÎÏ·ºÐ¹ÜÀГÆ÷" mode=ENABLE scope=ALL' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\WYDLPlatform.exe" name="ÍæÓÎÏ·ºÐÏÂÔГƽ̨" mode=ENABLE scope=ALL' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\tool\WYRTLFix.exe" name="ÍæÓÎÏ·ºÐÔËÐпâ¼ì²â³ÌÐò" mode=ENABLE scope=ALL' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\tool\WYPluginFix.exe" name="ÍæÓÎÏ·ºÐÏÂÔГ¹ÊÕϼì²â³ÌÐò" mode=ENABLE scope=ALL' (со скрытым окном)
- '%ProgramFiles(x86)%\wanyx\wyupdate.exe' -update -delay=3 -type=1' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\WYFlash.exe" name="ÍæÓÎÏ·ºÐflashÓÎÏ·³ÌÐò" mode=ENABLE scope=ALL
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\WYGM.exe" name="ÍæÓÎÏ·ºÐ¹ÜÀГÆ÷" mode=ENABLE scope=ALL
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\WYDLPlatform.exe" name="ÍæÓÎÏ·ºÐÏÂÔГƽ̨" mode=ENABLE scope=ALL
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\tool\WYRTLFix.exe" name="ÍæÓÎÏ·ºÐÔËÐпâ¼ì²â³ÌÐò" mode=ENABLE scope=ALL
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram program="%ProgramFiles(x86)%\Wanyx\tool\WYPluginFix.exe" name="ÍæÓÎÏ·ºÐÏÂÔГ¹ÊÕϼì²â³ÌÐò" mode=ENABLE scope=ALL
