Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- расширений файлов
изменяет следующие системные настройки:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000000'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000000'
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://sex.cpadown.meibu.com/cpa/ok.asp
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://www.hao123.com.www.265.com.www.114la.com.www.baidu.com.www.google.com.www.115.com.www.gov.cn.pp55.com/?ÂÌÉ«ÉÏÍø
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsj9cbc.tmp
- %ProgramFiles(x86)%\internet explorer\am_home.ico
- %ProgramFiles(x86)%\internet explorer\onreg.ini
- %TEMP%\nsz9ccd.tmp\nsexec.dll
- %ProgramFiles(x86)%\internet explorer\offreg.ini
- %HOMEPATH%\desktop\çé髵çó°.exe
- %HOMEPATH%\desktop\¼¤çéâãáä.exe
- %HOMEPATH%\desktop\ãà å®é«ГВј.exe
- %TEMP%\nsz9ccd.tmp\system.dll
- %APPDATA%\microsoft\windows\privacie\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012025012020250121\index.dat
Удаляет следующие файлы
- %ProgramFiles(x86)%\internet explorer\onreg.ini
- %ProgramFiles(x86)%\internet explorer\offreg.ini
Сетевая активность
Подключается к
- 'se#.###down.meibu.com':80
- 'ha####.###.###.###.###.###.114la.com.www.baidu.com.www.google.com.www.115.com.www.gov.cn.pp55.com':80
- 'li##.baidu.com':80
- '4.#n':443
- 's1#.#nzz.com':80
- 's1#.#nzz.com':443
- 'js.##ers.51.la':80
- 'x1.#.lencr.org':80
- '4.#n':80
- 'ia.#1.la':80
TCP
Запросы HTTP GET
- http://www.ha####.###.###.###.###.###.114la.com.www.baidu.com.www.google.com.www.115.com.www.gov.cn.pp55.com/?ВМ######
- http://li##.baidu.com/jquery/1.9.0/jquery.js
- http://s1##.cnzz.com/stat.php?id##############################
- http://js.##ers.51.la/2882802.js
- http://x1.#.lencr.org/
- http://www.4.#n/template/images/a-pic.jpg
- http://ia.#1.la/go1?id###########################################################################################################################################################################...
- http://www.ha####.###.###.###.###.###.114la.com.www.baidu.com.www.google.com.www.115.com.www.gov.cn.pp55.com/favicon.ico
Другие
- '4.#n':443
- 's1##.cnzz.com':443
UDP
- DNS ASK se#.###down.meibu.com
- DNS ASK ha####.###.###.###.###.###.114la.com.www.baidu.com.www.google.com.www.115.com.www.gov.cn.pp55.com
- DNS ASK li##.baidu.com
- DNS ASK s1##.cnzz.com
- DNS ASK js.##ers.51.la
- DNS ASK 4.#n
- DNS ASK s1#.#nzz.com
- DNS ASK x1.#.lencr.org
- DNS ASK ia.#1.la
Другое
Ищет следующие окна
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c regini "%ProgramFiles(x86)%\Internet Explorer\onreg.ini" (со скрытым окном)
- '%WINDIR%\syswow64\regini.exe' "%ProgramFiles(x86)%\Internet Explorer\onreg.ini"
- '%WINDIR%\syswow64\cmd.exe' /c regini "%ProgramFiles(x86)%\Internet Explorer\offreg.ini" (со скрытым окном)
- '%WINDIR%\syswow64\regini.exe' "%ProgramFiles(x86)%\Internet Explorer\offreg.ini"
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://sex.cpadown.meibu.com/cpa/ok.asp (со скрытым окном)
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://www.hao123.com.www.265.com.www.114la.com.www.baidu.com.www.google.com.www.115.com.www.gov.cn.pp55.com/?ÂÌÉ«ÉÏÍø (со скрытым окном)
