Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'mysys' = '%ProgramFiles%\Outlook_Express\SOUNDMAN.EXE'
Создает или изменяет следующие файлы
- %WINDIR%\system.ini
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\sun.exe
- %ProgramFiles%\outlook_express\httpapi.dll
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\°ù¶è¹¤¾ßà ¸\ð¶ôø°ù¶è¹¤¾ßà ¸.lnk
- %TEMP%\nstd48e.tmp\system.dll
- %ProgramFiles(x86)%\baidu\toolbar\baidubarx.dll
- %ProgramFiles(x86)%\baidu\toolbar\baiduservice.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\°ù¶è¹¤¾ßà ¸\×ô¶¨òå°´å¥.url
- %ProgramFiles%\outlook_express\soundman.exe
- %ProgramFiles(x86)%\baidu\toolbar\barbroker.exe
- %WINDIR%\syswow64\com\config.cfg
- %WINDIR%\syswow64\somarshal.dat
- %LOCALAPPDATA%low\baidu\toolbar\rc.dat
- %WINDIR%\syswow64\akrxzh.bat
- %WINDIR%\syswow64\yecppncyx.bat
- %WINDIR%\syswow64\com\1.2.8\wndhook.dll
- %ProgramFiles(x86)%\baidu\toolbar\rc.dll
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\°ù¶è¹¤¾ßà ¸\¸öðô»¯ê×ò³.url
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\°ù¶è¹¤¾ßà ¸\òþë½±£»¤.url
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\°ù¶è¹¤¾ßà ¸\ðþ¸´¹¦äü.url
- %TEMP%\nsicd4d.tmp
- %LOCALAPPDATA%low\baidu\toolbar\custom buttons\custom.xml
- %ProgramFiles(x86)%\baidu\toolbar\baidubarx_tmp\baiduservice.exe
- %WINDIR%\10054.exe
- %WINDIR%\dl_205446.exe
- %ProgramFiles(x86)%\baidu\toolbar\baidubarx_tmp\baidubarx.dll
- <Текущая директория>\oyes1.exe
- %ProgramFiles(x86)%\baidu\toolbar\baidubarx_tmp\rc.dll
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\°ù¶è¹¤¾ßà ¸\æá±îáð±Г.url
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\°ù¶è¹¤¾ßà ¸\°éââµ¼º½.url
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\°ù¶è¹¤¾ßà ¸\°ïöúö¸äï.url
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\°ù¶è¹¤¾ßà ¸\¹ã¸æà ¹½ø.url
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\°ù¶è¹¤¾ßà ¸\à ¬»øçåà Г.url
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\°ù¶è¹¤¾ßà ¸\ГЇВµГ³¼óëù.url
- %ProgramFiles(x86)%\baidu\toolbar\baidubarx_tmp\barbroker.exe
- nul
- C:\ss2.txt
Удаляет следующие файлы
- %TEMP%\nstd48e.tmp\system.dll
- %WINDIR%\dl_205446.exe
- %WINDIR%\syswow64\arbddzdzcu.bat
Перемещает следующие файлы
- %WINDIR%\syswow64\akrxzh.bat в %WINDIR%\syswow64\arbddzdzcu.bat
Сетевая активность
Подключается к
- 'cl.###system.com':80
TCP
Запросы HTTP GET
- http://cl.###system.com/cl.php?fi####################################################################
UDP
- DNS ASK ba###com.net.cn
- DNS ASK cl.###system.com
- DNS ASK r.###ntech.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: 'BAIDU_TOOLBAR_WINDOWS_SERVICE_WND'
Создает и запускает на исполнение
- '<Текущая директория>\oyes1.exe'
- '<Текущая директория>\sun.exe'
- '%WINDIR%\10054.exe'
- '%WINDIR%\dl_205446.exe'
- '%ProgramFiles%\outlook_express\soundman.exe'
- '%ProgramFiles(x86)%\baidu\toolbar\barbroker.exe' -RegServer
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\yecppncyx.bat (со скрытым окном)
- '%WINDIR%\syswow64\ping.exe' -n 3 127.0.0.1
