Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://e.##168.com/?dn########
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://www.dn##55.com/
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://it##.taobao.com/auction/item_detail.htm?it####################
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://hi.##idu.com/dnf%C5%D8%CF%F8/blog/item/ad5418abe1950ef6faed5065.html
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ad5418abe1950ef6faed5065[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\item_detail[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\e.ys168[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\dnf855[1]
Сетевая активность:
Подключается к:
- 'www.dn##55.com':80
- 'e.##168.com':80
- 'it##.taobao.com':80
- '12#.#25.114.144':80
- 'localhost':1037
- 'localhost':1036
- 'localhost':1039
- 'localhost':1038
TCP:
Запросы HTTP GET:
- 12#.#25.114.144/dnf%C5%D8%CF%F8/blog/item/ad5418abe1950ef6faed5065.html
- it##.taobao.com/auction/item_detail.htm?it####################
- e.##168.com/?dn########
- www.dn##55.com/
UDP:
- DNS ASK it##.taobao.com
- DNS ASK hi.##idu.com
- DNS ASK e.##168.com
- DNS ASK www.dn##55.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
