Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\DDGuo\Shell\Open\Command] '' = '"%PROGRAM_FILES%\dodoguo5010\dodoguo5010.exe" "%1"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'DDGuo' = '"%PROGRAM_FILES%\dodoguo5010\dodoguo5010.exe" /A'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\DDGuoExService] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\dodoguo5010\DDGUOServer.exe' /install /silent
- '%PROGRAM_FILES%\dodoguo5010\dodoguo5010.exe' /SetAutoRun true
- '%TEMP%\kingsoftkonline\KAVE_33_2989.exe' /s
- '%PROGRAM_FILES%\dodoguo5010\DDGUOServer.exe'
- 'C:\s.teacstu_setup_31321.exe'
- 'C:\KAVE_33_2989.exe'
- '%PROGRAM_FILES%\dodoguo5010\dodoguo5010.exe' /a
- 'C:\ddg_5010.exe'
- '%TEMP%\kingsoftkonline\KAVE_33_2989.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /F /im Update.exe
- '<SYSTEM32>\taskkill.exe' /F /im dodoguo5010.exe
- '<SYSTEM32>\taskkill.exe' /F /im DDGuoServer.exe
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\¶№¶№№ы\¶№¶№№ы.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\¶№¶№№ы\Р¶ФШ¶№¶№№ы.lnk
- %PROGRAM_FILES%\dodoguo5010\fsx.dat
- %PROGRAM_FILES%\dodoguo5010\Update.exe
- %PROGRAM_FILES%\dodoguo5010\WebPlayer.ocx
- %PROGRAM_FILES%\dodoguo5010\uninst.exe
- %ALLUSERSPROFILE%\Application Data\DDGuo\popset.ini
- %HOMEPATH%\AppData\LocalLow\DDGuo\Fav.dat
- %TEMP%\kingsoftkonline\KAVE_33_2989.exe.tmp
- %ALLUSERSPROFILE%\Application Data\DDGuo\runa.ini
- %HOMEPATH%\AppData\LocalLow\DDGuo\Setup.ini
- %TEMP%\nsn2.tmp
- %TEMP%\nsn3.tmp\tg.dll
- %TEMP%\nsn3.tmp\System.dll
- C:\ddg_5010.exe
- C:\KAVE_33_2989.exe
- C:\s.teacstu_setup_31321.exe
- %PROGRAM_FILES%\dodoguo5010\DDGUOServer.exe
- %PROGRAM_FILES%\dodoguo5010\decode.dll
- %PROGRAM_FILES%\dodoguo5010\DDGFlash.swf
- %TEMP%\nsn3.tmp\iotemp.ini
- %TEMP%\nsn3.tmp\services.dll
- %PROGRAM_FILES%\dodoguo5010\dodoguo5010.exe
Удаляет следующие файлы:
- %TEMP%\nsn3.tmp\System.dll
- %TEMP%\nsn3.tmp\tg.dll
- %TEMP%\nsn3.tmp\iotemp.ini
- %TEMP%\nsn3.tmp\services.dll
Перемещает следующие файлы:
- %TEMP%\kingsoftkonline\KAVE_33_2989.exe.tmp в %TEMP%\kingsoftkonline\KAVE_33_2989.exe
Сетевая активность:
Подключается к:
- 'localhost':1044
- 'cd###.www.duba.net':80
- 'bo.###a.net:8080':80
TCP:
Запросы HTTP GET:
- cd###.www.duba.net/duba/install/2011/ever/kavsetups_33_0.exe
- bo.###a.net:8080/pagetracer2/duba/__utm.gif?01#######################################################################################################################
UDP:
- DNS ASK di#####.doudouguo.com
- DNS ASK www.ba##u.com
- DNS ASK wv#.##me1122.com
- DNS ASK GU#####O.DOUDOUGUO.COM
- DNS ASK cd###.www.duba.net
- DNS ASK bo.###a.net:8080
- DNS ASK UP####.DOUDOUGUO.COM
- 'up####.doudouguo.com':5969
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: ''
