Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Skycn\Helper.exe' install
- '%PROGRAM_FILES%\Skycn\Helper.exe' "filename|<Полный путь к вирусу>"
- '%PROGRAM_FILES%\Skycn\Skycn.exe'
- '%TEMP%\is-C6LBJ.tmp\<Имя вируса>.tmp' /SL5="$30092,966165,65536,<Полный путь к вирусу>"
- '%TEMP%\is-H9TTN.tmp\install.exe' "<Полный путь к вирусу>"
- '%TEMP%\is-7MP4D.tmp\<Имя вируса>.tmp' /SL5="$300E2,966165,65536,<Полный путь к вирусу>" /VERYSILENT /SP- /norestart /SUPPRESSMSGBOXES
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\Skycn\SkyATL.dll"
- '<SYSTEM32>\taskkill.exe' /f /im skycn.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Skycn\data\is-VSR3A.tmp
- %PROGRAM_FILES%\Skycn\data\is-DKBN8.tmp
- %PROGRAM_FILES%\Skycn\data\is-2PBU5.tmp
- %PROGRAM_FILES%\Skycn\data\is-S1K4I.tmp
- %PROGRAM_FILES%\Skycn\is-V41S0.tmp
- %PROGRAM_FILES%\Skycn\is-8187K.tmp
- %PROGRAM_FILES%\Skycn\data\is-TQVP2.tmp
- %PROGRAM_FILES%\Skycn\data\is-3AMGV.tmp
- %PROGRAM_FILES%\Skycn\data\data.dat-journal
- %PROGRAM_FILES%\Skycn\data\data.dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\luncher[1].htm
- %PROGRAM_FILES%\Skycn\unins000.dat
- %ALLUSERSPROFILE%\Start Menu\Programs\МмїХј«ЛЩПВФШЖч\МмїХј«ЛЩПВФШЖч.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\МмїХј«ЛЩПВФШЖч\Р¶ФШПВФШЖч.lnk
- %ALLUSERSPROFILE%\Desktop\МмїХј«ЛЩПВФШЖч.lnk
- %PROGRAM_FILES%\Skycn\is-B23PA.tmp
- %TEMP%\is-7MP4D.tmp\<Имя вируса>.tmp
- %TEMP%\is-6PTLQ.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-6PTLQ.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-H9TTN.tmp\install.exe
- %TEMP%\is-C6LBJ.tmp\<Имя вируса>.tmp
- %TEMP%\is-H9TTN.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-H9TTN.tmp\_isetup\_shfoldr.dll
- %PROGRAM_FILES%\Skycn\is-B3NR6.tmp
- %PROGRAM_FILES%\Skycn\is-1TRNK.tmp
- %PROGRAM_FILES%\Skycn\is-PKIMP.tmp
- %PROGRAM_FILES%\Skycn\is-5S1TQ.tmp
- %PROGRAM_FILES%\Skycn\is-KLUBE.tmp
- %PROGRAM_FILES%\Skycn\is-RJKNE.tmp
- %PROGRAM_FILES%\Skycn\is-46FAU.tmp
- %PROGRAM_FILES%\Skycn\is-I3FBL.tmp
Удаляет следующие файлы:
- %TEMP%\is-6PTLQ.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-6PTLQ.tmp\_isetup\_RegDLL.tmp
- %PROGRAM_FILES%\Skycn\data\data.dat-journal
- %TEMP%\is-7MP4D.tmp\<Имя вируса>.tmp
- %TEMP%\is-H9TTN.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-H9TTN.tmp\install.exe
- %TEMP%\is-C6LBJ.tmp\<Имя вируса>.tmp
- %TEMP%\is-H9TTN.tmp\_isetup\_shfoldr.dll
Перемещает следующие файлы:
- %PROGRAM_FILES%\Skycn\data\is-TQVP2.tmp в %PROGRAM_FILES%\Skycn\data\acbarset.cfg
- %PROGRAM_FILES%\Skycn\data\is-S1K4I.tmp в %PROGRAM_FILES%\Skycn\data\acset.cfg
- %PROGRAM_FILES%\Skycn\is-V41S0.tmp в %PROGRAM_FILES%\Skycn\Helper.exe
- %PROGRAM_FILES%\Skycn\is-8187K.tmp в %PROGRAM_FILES%\Skycn\srvlst.dat
- %PROGRAM_FILES%\Skycn\data\is-VSR3A.tmp в %PROGRAM_FILES%\Skycn\data\commdata.dll
- %PROGRAM_FILES%\Skycn\data\is-3AMGV.tmp в %PROGRAM_FILES%\Skycn\data\dlService.exe
- %PROGRAM_FILES%\Skycn\srvlst.dat.tmp в %PROGRAM_FILES%\Skycn\srvlst.dat
- %PROGRAM_FILES%\Skycn\data\is-DKBN8.tmp в %PROGRAM_FILES%\Skycn\data\config.ini
- %PROGRAM_FILES%\Skycn\data\is-2PBU5.tmp в %PROGRAM_FILES%\Skycn\data\data.dll
- %PROGRAM_FILES%\Skycn\is-46FAU.tmp в %PROGRAM_FILES%\Skycn\Microsoft.VC80.MFC.manifest
- %PROGRAM_FILES%\Skycn\is-I3FBL.tmp в %PROGRAM_FILES%\Skycn\Microsoft.VC80.ATL.manifest
- %PROGRAM_FILES%\Skycn\is-B3NR6.tmp в %PROGRAM_FILES%\Skycn\unins000.exe
- %PROGRAM_FILES%\Skycn\is-RJKNE.tmp в %PROGRAM_FILES%\Skycn\Microsoft.VC80.CRT.manifest
- %PROGRAM_FILES%\Skycn\is-KLUBE.tmp в %PROGRAM_FILES%\Skycn\ATL80.dll
- %PROGRAM_FILES%\Skycn\is-5S1TQ.tmp в %PROGRAM_FILES%\Skycn\Skycn.exe
- %PROGRAM_FILES%\Skycn\is-B23PA.tmp в %PROGRAM_FILES%\Skycn\sqlite3.dll
- %PROGRAM_FILES%\Skycn\is-1TRNK.tmp в %PROGRAM_FILES%\Skycn\npskycn.dll
- %PROGRAM_FILES%\Skycn\is-PKIMP.tmp в %PROGRAM_FILES%\Skycn\SkyATL.dll
Сетевая активность:
Подключается к:
- 'any':81
- 'tr###.wangyuehd.com':80
- 'www.sk##n.com':80
TCP:
Запросы HTTP GET:
- www.sk##n.com/new/server_new.txt
Запросы HTTP POST:
- tr###.wangyuehd.com/luncher.php
UDP:
- DNS ASK pz#.##ngyuehd.com
- DNS ASK tr###.wangyuehd.com
- DNS ASK www.sk##n.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Skycn_Main_Class' WindowName: '(null)'
