Техническая информация
Вредоносные функции
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://zailuo117.cn/
Изменения в файловой системе
Создает следующие файлы
- D:\opremove\opremove.chm
- D:\opremove\opremove.exe
- D:\opremove\请访问作者论坛.net.url
- D:\opremove\1.bat
- D:\opremove\1.vbs
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012023093020231001\index.dat
Присваивает атрибут 'скрытый' для следующих файлов
- D:\opremove\请访问作者论坛.net.url
- D:\opremove\1.bat
- D:\opremove\1.vbs
Сетевая активность
Подключается к
- 'za###o117.cn':80
TCP
Запросы HTTP GET
- http://za###o117.cn/
- http://za###o117.cn/favicon.ico
UDP
- DNS ASK za###o117.cn
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "D:\OPRemove\1.vbs"
- 'D:\opremove\opremove.exe'
- '%WINDIR%\syswow64\cmd.exe' /c 1.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c 1.bat
