Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles%\djqaaaaaaaaa
- %TEMP%\nsz2147.tmp\ip.dll
- %ProgramFiles(x86)%\ht\zwlogger.ini
- %ProgramFiles%\360se_mgtv003.exe
- %TEMP%\tongji.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\ȐГВј\uninstall.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\ȐГВј\ȐГВј.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\ȐГВј.lnk
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012024093020241001\index.dat
- %ProgramFiles(x86)%\ht\ȐГ¼âìé«°æ.lnk
- %ProgramFiles(x86)%\ht\uninstall.exe
- %ProgramFiles(x86)%\ht\zhanwu.dll
- %ProgramFiles(x86)%\ht\zwlogger.exe
- %TEMP%\nsz2147.tmp\checkboxes.dll
- %TEMP%\nsz2147.tmp\system.dll
- %TEMP%\nsz2146.tmp
- %ProgramFiles%\ht_y_ppht_06255.exe
- C:\users\public\desktop\ȐГВј.lnk
- %LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat
Удаляет следующие файлы
- %TEMP%\nsz2147.tmp\checkboxes.dll
- %TEMP%\nsz2147.tmp\ip.dll
- %TEMP%\nsz2147.tmp\system.dll
Сетевая активность
Подключается к
- 'r.#####.store.qq.com':80
- 'ww#.#inaimg.cn':80
- 'dl.##0safe.com':80
- 'cl###t.9377.com':80
- 'st####.9377s.com':80
TCP
Запросы HTTP GET
- http://r.#####.store.qq.com/psb?/V#########################################################################
- http://ww#.#inaimg.cn/mw690/006czSTKjw1exa0f7w8kdg30go0gonpl.gif
- http://ww#.#inaimg.cn/mw690/006czSTKjw1evuwxiclwtg30ce083b2p.gif
- http://dl.##0safe.com/p/360se_mgtv003.exe
- http://cl###t.9377.com/pc_game_ht_new.php?lm###############
- http://st####.9377s.com/js/ajax.js?20############
UDP
- DNS ASK r.#####.store.qq.com
- DNS ASK ww#.#inaimg.cn
- DNS ASK dl.##0safe.com
- DNS ASK g.##4k.com
- DNS ASK cl###t.9377.com
- DNS ASK st####.9377s.com
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: 'Program Manager'
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: 'FolderView'
- ClassName: 'WorkerW' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles%\ht_y_ppht_06255.exe'
- '%TEMP%\tongji.exe' "1|ppht|ht_Y_ppht_06255.exe"
- '%ProgramFiles(x86)%\ht\zwlogger.exe' "%ProgramFiles(x86)%\ht\ZhanWu.dll"
- '%ProgramFiles(x86)%\ht\zwlogger.exe' "%ProgramFiles(x86)%\ht\ZhanWu.dll" "1"
- '%ProgramFiles%\360se_mgtv003.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c sc config Schedule start= auto (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net start Schedule (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' config Schedule start= auto
- '%WINDIR%\syswow64\net.exe' start Schedule
- '%WINDIR%\syswow64\net1.exe' start Schedule
- '%WINDIR%\syswow64\regsvr32.exe' /s %LOCALAPPDATA%\TaoTaoSou\TTK\TTSIEPlugin_64.dll (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /s %LOCALAPPDATA%\TaoTaoSou\TTK\TTSIEPlugin_64.dll
- '%APPDATA%\360se6\application\7.1.1.531\installer\setup.exe' --launch-helper (со скрытым окном)
