Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\acpidisk] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\acpidisk] 'ImagePath' = '<DRIVERS>\acpidisk.sys'
- [HKLM\System\CurrentControlSet\Services\Internet Statistics] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\Internet Statistics] 'ImagePath' = '"<SYSTEM32>\rundll32.exe" "<SYSTEM32>\mszstb.dll", Run'
- [HKLM\System\CurrentControlSet\Services\mcgo] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\mcgo] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs'
- [HKLM\SYSTEM\CurrentControlSet\Services\mcgo\Parameters] 'ServiceDll' = '%ProgramFiles%\hxbj\rhlt.dll'
Создает следующие сервисы
- 'acpidisk' <DRIVERS>\acpidisk.sys
- 'Internet Statistics' "<SYSTEM32>\rundll32.exe" "<SYSTEM32>\mszstb.dll", Run
- 'mcgo' <SYSTEM32>\svchost.exe -k netsvcs
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nskecbf.tmp
- %WINDIR%\syswow64\msurlpar.dll.zgx.tmp
- %WINDIR%\syswow64\msurlpar.dll.zgx
- %WINDIR%\syswow64\mszstb.dll.zgx.tmp
- %WINDIR%\syswow64\mszstb.dll.zgx
- %WINDIR%\syswow64\_uninstall
- %WINDIR%\syswow64\drivers\acpidisk.sys
- %TEMP%\nsaccd.tmp
- %ProgramFiles(x86)%\baidu\bar\bdbar_tmp\img\imglist.bmp
- %ProgramFiles(x86)%\baidu\bar\bdbar_tmp\img\logo.bmp
- %WINDIR%\syswow64\mscpx32r.det
- %ProgramFiles%\baidu\bar\baidubar.dll
- %ProgramFiles(x86)%\hxbj\gwai.ini
- %ProgramFiles(x86)%\hxbj\rhlt.dll
- %ProgramFiles(x86)%\hxbj\cswe.ini
- %ProgramFiles(x86)%\hxbj\ukow.dll
- %ProgramFiles(x86)%\hxbj\wmqy.dll
- %ProgramFiles(x86)%\hxbj\zptb.dll
- %ProgramFiles(x86)%\hxbj\ndhp.dll
- %ProgramFiles(x86)%\hxbj\xnrz.lex
- %ProgramFiles(x86)%\baidu\bar\bdbar_tmp\baidubar.dll
- %WINDIR%\syswow64\ip.dat
- %ProgramFiles(x86)%\baidu\bar\bdbar_tmp\baidubar.dat
- %WINDIR%\syswow64\ip.dat.tmp
- %TEMP%\nsvf7f7.tmp\system.dll
- %TEMP%\ad703.exe
- %TEMP%\my_70008.exe
- %TEMP%\skypeclient.exe
- %TEMP%\dodolook349.exe
- %TEMP%\ad_2374.exe
- %TEMP%\setup1166.exe
- %TEMP%\setup.exe
- %TEMP%\shuigenet_cb.exe
- %TEMP%\nsff7e6.tmp
- %TEMP%\1525.exe
- %TEMP%\acpidisk.sys
- %TEMP%\nskfbad.tmp
- %CommonProgramFiles(x86)%\cpush\uninst.exe
- %CommonProgramFiles(x86)%\cpush\cpush.dll
- %TEMP%\nsa139.tmp
- %WINDIR%\syswow64\setup.tmp
- %WINDIR%\syswow64\allverx.dat.tmp
- %TEMP%\nsa57d.tmp\system.dll
- %TEMP%\dosssetup.dll
- %TEMP%\insshell.exe
- %WINDIR%\syswow64\allverx.dat
- %ProgramFiles%\hxbj\lbfn.ini
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\syswow64\mszstb.dll
- %WINDIR%\syswow64\msurlpar.dll
- %TEMP%\ais_2374_0.exe
Удаляет следующие файлы
- %WINDIR%\syswow64\allverx.dat.tmp
- %WINDIR%\syswow64\ip.dat.tmp
- %WINDIR%\syswow64\msurlpar.dll.zgx.tmp
- %WINDIR%\syswow64\mszstb.dll.zgx.tmp
- %WINDIR%\syswow64\setup.tmp
- %TEMP%\nsa57d.tmp\system.dll
- %TEMP%\1525.exe
- %TEMP%\acpidisk.sys
- %TEMP%\dosssetup.dll
- %TEMP%\nsvf7f7.tmp\system.dll
- C:\~de1c17.tmp
Перемещает следующие файлы
- %TEMP%\insshell.exe в %TEMP%\ais_2374_0.exe
- %WINDIR%\syswow64\msurlpar.dll.zgx в %WINDIR%\syswow64\msurlpar.dll
- %WINDIR%\syswow64\mszstb.dll.zgx в %WINDIR%\syswow64\mszstb.dll
- %TEMP%\ais_2374_0.exe в C:\~de1c17.tmp
Сетевая активность
Подключается к
- 'do#####d.zhongsou.com':80
UDP
- DNS ASK up####.borlander.cn
- DNS ASK bo####der.com.cn
- DNS ASK bo###nder.cn
- DNS ASK do#####d.zhongsou.com
Другое
Ищет следующие окна
- ClassName: '_std_ad_wnd_' WindowName: '_std_ad_wnd_'
- ClassName: '_stdup_cha_wnd_' WindowName: '_stdup_cha_wnd_'
Создает и запускает на исполнение
- '%TEMP%\ad703.exe'
- '%TEMP%\my_70008.exe'
- '%TEMP%\skypeclient.exe'
- '%TEMP%\dodolook349.exe'
- '%TEMP%\ad_2374.exe'
- '%TEMP%\1525.exe' 7349
- '%TEMP%\setup.exe'
- '%TEMP%\shuigenet_cb.exe'
- '%TEMP%\ais_2374_0.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' /s "%CommonProgramFiles(x86)%\CPUSH\cpush.dll"
- '%WINDIR%\syswow64\regsvr32.exe' "<SYSTEM32>\msurlpar.dll" -s (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "<SYSTEM32>\mszstb.dll", Start (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' C:\PROGRA~2\hxbj\rhlt.dll,Service
- '%WINDIR%\syswow64\rundll32.exe' "<SYSTEM32>\mszstb.dll", Rundll (со скрытым окном)
