Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\uic\Shell\Open\Command] '' = '"Rundll32.exe" "%WINDIR%\vistaw7\infofile.icl" Resetrun'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-303j4.tmp\<Имя файла>.tmp
- %ProgramFiles(x86)%\internet explorer\pplite\plugin\pplugin2.dll
- %TEMP%\nsnd2f9.tmp\pplugin2.dll
- %CommonProgramFiles(x86)%\pplivenetwork\installlog.txt
- %ProgramFiles(x86)%\pplive\pptv\installlog.txt
- %TEMP%\nsnd2f9.tmp\time.dll
- %TEMP%\nsnd2f9.tmp\ppinstalllog.dll
- %TEMP%\nsnd2f9.tmp\mframe.dll
- %TEMP%\nsnd2f9.tmp\findprocdll.dll
- %ALLUSERSPROFILE%\kingsoft\kis\kclt\common_duba_installact13689861838.inf
- %ALLUSERSPROFILE%\kingsoft\kis\kclt\common_duba_installact13689863879.inf
- %TEMP%\nsnd2f9.tmp\inetload.dll
- %TEMP%\nsnd2f9.tmp\system.dll
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\opkg\80d35abbbf3d6552c6e935c33e115458
- %TEMP%\nsyd2e9.tmp
- %ALLUSERSPROFILE%\kingsoft\kis\kclt\common_duba_installer13692203879.inf
- %ProgramFiles(x86)%\internet explorer\pplite\plugin\1.0.0.510\mframe.dll
- %TEMP%\etilqs_vz8obtysacbtho7
- %TEMP%\etilqs_c1xrfm7cl4rcijz
- %CommonProgramFiles(x86)%\pplivenetwork\uilib.dll
- %TEMP%\nsnd2f9.tmp\uilib.dll
- %CommonProgramFiles(x86)%\pplivenetwork\crashreporter.exe
- %TEMP%\nsnd2f9.tmp\crashreporter.exe
- %CommonProgramFiles(x86)%\pplivenetwork\mngmodule.dll
- %TEMP%\etilqs_6ahhz8j7ysz1trs
- %TEMP%\nsnd2f9.tmp\mngmodule.dll
- %CommonProgramFiles(x86)%\pplivenetwork\admodule.dll
- %TEMP%\nsnd2f9.tmp\admodule.dll
- %CommonProgramFiles(x86)%\pplivenetwork\ppap.exe
- %TEMP%\nsnd2f9.tmp\ppap.exe
- %TEMP%\nsnd2f9.tmp\pnsis.dll
- %TEMP%\etilqs_wdgfmen5blqfstv
- %ProgramFiles(x86)%\internet explorer\pplite\plugin\1.0.0.510\ppp.dll
- %TEMP%\nsnd2f9.tmp\ppp.dll
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\oem\0x00000000\infostream.dat
- %TEMP%\nsnd2f9.tmp\tipsclient.dll
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\oem\0x00000000\e90f569662636c230ce7d0e54bfc01e8
- %TEMP%\pptv(pplive)_forwxf_0019.exe
- %WINDIR%\vistaw7\infofile.tmp
- %WINDIR%\vistaw7\honst.uic
- %WINDIR%\vistaw7\config.ini
- %WINDIR%\vistaw7\comrundu.ducc
- %WINDIR%\vistaw7\avgsetup.exe
- %WINDIR%\vistaw7\install.tmp
- %WINDIR%\vistaw7\kav_97_10.exe
- %ProgramFiles(x86)%\prgenerate\unins000.dat
- %ProgramFiles(x86)%\prgenerate\is-mgpb6.tmp
- %ProgramFiles(x86)%\prgenerate\is-mspm5.tmp
- %TEMP%\is-8aqcj.tmp\installdll.dll
- %TEMP%\is-8aqcj.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-8aqcj.tmp\_isetup\_setup64.tmp
- %TEMP%\is-8aqcj.tmp\_isetup\_regdll.tmp
- %ProgramFiles(x86)%\prgenerate\is-34fem.tmp
- %WINDIR%\vistaw7\kpenxiao.sti
- %WINDIR%\vistaw7\rd.txt
- %WINDIR%\vistaw7\runset.exe
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\oem\0x00000000\a36b47f67fdca9e25d362d3fa62e3132
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\opkg\index.txt
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\opkg\index.dat
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\oem\0x00000000\index.txt
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\oem\0x00000000\index.dat
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\oem\index.txt
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\oem\index.dat
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\indexopkg.txt
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\indexopkg.dat
- %ALLUSERSPROFILE%\kingsoft\kis\log\uplive\klivesetup.log
- %ALLUSERSPROFILE%\kingsoft\kis\hg.dat
- C:\runpisoft\runset.exe
- %WINDIR%\condu.lnk
- %WINDIR%\vistaw7\taobao.ico
- %WINDIR%\vistaw7\serverid.txt
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\oem\0x00000000\datastream.dat
- %CommonProgramFiles(x86)%\pplivenetwork\tipsclient.dll
Удаляет следующие файлы
- %TEMP%\is-8aqcj.tmp\installdll.dll
- %TEMP%\is-8aqcj.tmp\_isetup\_regdll.tmp
- %TEMP%\is-8aqcj.tmp\_isetup\_setup64.tmp
- %TEMP%\is-8aqcj.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-303j4.tmp\<Имя файла>.tmp
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\oem\0x00000000\a36b47f67fdca9e25d362d3fa62e3132
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\oem\0x00000000\e90f569662636c230ce7d0e54bfc01e8
- %ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\opkg\80d35abbbf3d6552c6e935c33e115458
Перемещает следующие файлы
- %ProgramFiles(x86)%\prgenerate\is-mspm5.tmp в %ProgramFiles(x86)%\prgenerate\unins000.exe
- %ProgramFiles(x86)%\prgenerate\is-mgpb6.tmp в %ProgramFiles(x86)%\prgenerate\installdll.dll
- %ProgramFiles(x86)%\prgenerate\is-34fem.tmp в %ProgramFiles(x86)%\prgenerate\install.tmp
Сетевая активность
Подключается к
- 'av#.com':80
- 'av#.com':443
- 'do####ad.pplive.com':80
- 'os####.suning.com':80
- 'in##.duba.net':80
- 'cd###.www.duba.net':80
- 'au######te.geo.opera.com':80
TCP
Запросы HTTP GET
- http://www.av#.com/cn-zh/download-file-x64-afh
- http://do####ad.pplive.com/PPTV(pplive)_forwxf_0019.exe
- http://os####.suning.com/pcoss/dl/PPTV(pplive)_forwxf_0019.exe
- http://cd###.www.duba.net/duba/install/kis/2011/indexopkg.dat
- http://cd###.www.duba.net/duba/install/kis/2011/oem/index.dat
- http://cd###.www.duba.net/duba/install/kis/2011/oem/0x00000000/index.dat
- http://cd###.www.duba.net/duba/install/kis/2011/opkg/index.dat
- http://cd###.www.duba.net/duba/install/kis/2011/oem/0x00000000/a36b47f67fdca9e25d362d3fa62e3132
- http://cd###.www.duba.net/duba/install/kis/2011/oem/0x00000000/e90f569662636c230ce7d0e54bfc01e8
- http://cd###.www.duba.net/duba/install/kis/2011/opkg/80d35abbbf3d6552c6e935c33e115458
Другие
- 'av#.com':443
UDP
- DNS ASK lz##wl.com
- DNS ASK av#.com
- DNS ASK do####ad.pplive.com
- DNS ASK os####.suning.com
- DNS ASK in##.duba.net
- DNS ASK cd###.www.duba.net
- DNS ASK in#####sion.pplive.com
- DNS ASK e0##7.com
- DNS ASK google.com
- DNS ASK au######te.geo.opera.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'Æô¶¯'
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: '' WindowName: 'runpisoft'
- ClassName: 'Opera_MessageWindow' WindowName: '%APPDATA%\Opera Software\Opera Stable'
Создает и запускает на исполнение
- '%TEMP%\is-303j4.tmp\<Имя файла>.tmp' /SL5="$5024A,1357184,51712,<Полный путь к файлу>"
- '%WINDIR%\vistaw7\avgsetup.exe'
- '%WINDIR%\vistaw7\kav_97_10.exe'
- 'C:\runpisoft\runset.exe'
- '%TEMP%\pptv(pplive)_forwxf_0019.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\explorer.exe' %ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Startup (со скрытым окном)
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2104.8.1525971001\1062452414" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2104.7.2128716664\66351930" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2104.6.1107898132\89504097" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2104.5.2107936384\2060206969" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' --type=utility --channel="2104.4.262106047\1563449901" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001 /crash-reporter-parent-id=412
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2104.4.262106047\1563449901" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --extension-process --enable-we...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.lzchwl.com/ /crash-reporter-parent-id=2104
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --disable-client-side-phishing-...
- '%WINDIR%\syswow64\explorer.exe' /n,/select,C:\runpisoft\runset.exe
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- http://www.lzchwl.com/
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "http://www.lzchwl.com/"
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\vistaw7\kpenxiao.sti" loadsoft1 (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\vistaw7\comrundu.ducc" message1 (со скрытым окном)
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="2104.0.663310649\823292310" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu-...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2104.9.1646386815\1824536604" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%WINDIR%\syswow64\regsvr32.exe' /s "%ProgramFiles(x86)%\Internet Explorer\PPLite\plugin\pplugin2.dll"
- '%ALLUSERSPROFILE%\kingsoft\kis\onlineinstall\kav\opkg\kav_down.exe' -PARTNER=O_KIS_97.10 /versiontypes=184549376 /productid=6357002 /iid=186849934 /tid=3B8C47C49D270037B9B66BCCA68D81500FCB72B138719798FE896DF8BE09569730D16BB61BF2944B33533E5003E2B2392E79E26A81240... (со скрытым окном)
- '%WINDIR%\vistaw7\kav_97_10.exe' (со скрытым окном)
- '%WINDIR%\vistaw7\avgsetup.exe' (со скрытым окном)
