Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\Paint.Picture\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\emffile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\giffile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\pjpegfile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\jpegfile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\pngfile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\TIFImage.Document\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\wmffile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\Applications\shimgvw.dll\shell\open\command] '' = ''
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\box_100065_5454_setup.exe'
- 'C:\setup_2951-5454.exe'
- 'C:\ksbinstaller_s_93_5454.exe'
- 'C:\play_2059_22399.exe'
- 'C:\setup_2958-22399.exe'
- 'C:\lebotv_114_22399.exe'
- 'C:\KAVSETUPS_66_101216.exe'
- 'C:\HuoBao_103_5.exe'
- 'C:\box_100065_5454_setup.exe' (загружен из сети Интернет)
- 'C:\setup_2951-5454.exe' (загружен из сети Интернет)
- 'C:\ksbinstaller_s_93_5454.exe' (загружен из сети Интернет)
- 'C:\play_2059_22399.exe' (загружен из сети Интернет)
- 'C:\setup_2958-22399.exe' (загружен из сети Интернет)
- 'C:\lebotv_114_22399.exe' (загружен из сети Интернет)
- 'C:\KAVSETUPS_66_101216.exe' (загружен из сети Интернет)
- 'C:\HuoBao_103_5.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\setup.bat" "
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\wscript.exe' "%TEMP%\1.tmp\dm.VBS"
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %TEMP%\1.tmp\1.ico
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\shimgvw.dll
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1.tmp\setup.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\HuoBao_103_5[1].exe
- C:\KAVSETUPS_66_101216.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\KAVSETUPS_66_101216[1].exe
- C:\lebotv_114_22399.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\doudoubo[1].exe
- C:\setup_2958-22399.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\setup_2958-22399[1].exe
- C:\play_2059_22399.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\play_2059_22399[1].exe
- C:\ksbinstaller_s_93_5454.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ksbinstaller_s_93_5454[1].exe
- C:\setup_2951-5454.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\setup_2951-5454[1].exe
- C:\box_100065_5454_setup.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\box_100065_5454_setup[1].exe
- %TEMP%\1.tmp\1.ico
- %TEMP%\1.tmp\dm.VBS
- C:\HuoBao_103_5.exe
- %TEMP%\RGI2.tmp
Удаляет следующие файлы:
- %TEMP%\RGI2.tmp
Сетевая активность:
Подключается к:
- 'localhost':1035
- 's.###oduo.com':80
- 'do##.yinyue.fm':80
- 'd.#####.ijinshan.com':80
- 'cd##.866dy.com':80
- 'www.do###ubo.com':80
- 'dl.####n.ijinshan.com':80
- 'ba###.cn9001.com':80
TCP:
Запросы HTTP GET:
- s.###oduo.com/jm/box_100065_5454_setup.exe
- do##.yinyue.fm/open/setup_2951-5454.exe
- d.#####.ijinshan.com/liebao/link/ksbinstaller_s_93_5454.exe
- cd##.866dy.com/down/play_2059_22399.exe
- do##.yinyue.fm/open/setup_2958-22399.exe
- www.do###ubo.com/?d=####################
- dl.####n.ijinshan.com/duba/link/KAVSETUPS_66_101216.exe
- ba###.cn9001.com/down-jm/HuoBao_103_5.exe
UDP:
- DNS ASK s.###oduo.com
- DNS ASK do##.yinyue.fm
- DNS ASK d.#####.ijinshan.com
- DNS ASK cd##.866dy.com
- DNS ASK www.do###ubo.com
- DNS ASK dl.####n.ijinshan.com
- DNS ASK ba###.cn9001.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
