Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\.\Shell\open\command] '' = '"Rundll32.exe" "%WINDIR%\fsvr.lex" Resetrun'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\is-3DFG6.tmp\<Имя вируса>.tmp' /SL5="$40036,1345815,53248,<Полный путь к вирусу>"
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' "%WINDIR%\wintemp_64\altersvr.dll" Scanprocess
- '%WINDIR%\regedit.exe' -s "%PROGRAM_FILES%\huanbang123\info.desc"
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\wintemp_64\minigame.ico
- %WINDIR%\wintemp_64\mzsg.ico
- %WINDIR%\wintemp_64\PPN1.ico
- %WINDIR%\wintemp_64\LC.ico
- %WINDIR%\wintemp_64\data1
- %WINDIR%\wintemp_64\fsvr.lex
- %WINDIR%\wintemp_64\hao.ico
- %WINDIR%\wintemp_64\rd.txt
- %WINDIR%\fsvr.lex
- %WINDIR%\data1
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\default[1].html
- %WINDIR%\wintemp_64\zhuoyue.ico
- %WINDIR%\wintemp_64\sanguo.ico
- %WINDIR%\wintemp_64\taobao.ico
- %WINDIR%\wintemp_64\Xianjian.ico
- %PROGRAM_FILES%\huanbang123\is-PU34S.tmp
- %PROGRAM_FILES%\huanbang123\is-NAJ09.tmp
- %PROGRAM_FILES%\huanbang123\is-D1JHI.tmp
- %TEMP%\is-1I6O1.tmp\InstallDll.dll
- %TEMP%\is-3DFG6.tmp\<Имя вируса>.tmp
- %TEMP%\is-1I6O1.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-1I6O1.tmp\_isetup\_shfoldr.dll
- %PROGRAM_FILES%\huanbang123\is-4VKH7.tmp
- %WINDIR%\wintemp_64\altersvr.dll
- %WINDIR%\wintemp_64\Config.ini
- %WINDIR%\wintemp_64\dangdangwang.ico
- %WINDIR%\wintemp_64\2xi.ico
- %PROGRAM_FILES%\huanbang123\unins000.dat
- %WINDIR%\wintemp_64\Install.tmp
- %WINDIR%\Install.tmp
Удаляет следующие файлы:
- %TEMP%\is-1I6O1.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-3DFG6.tmp\<Имя вируса>.tmp
- %TEMP%\is-1I6O1.tmp\_isetup\_RegDLL.tmp
- %PROGRAM_FILES%\huanbang123\Install.tmp
- %TEMP%\is-1I6O1.tmp\InstallDll.dll
Перемещает следующие файлы:
- %PROGRAM_FILES%\huanbang123\is-D1JHI.tmp в %PROGRAM_FILES%\huanbang123\Install.tmp
- %PROGRAM_FILES%\huanbang123\is-4VKH7.tmp в %PROGRAM_FILES%\huanbang123\info.desc
- %PROGRAM_FILES%\huanbang123\is-PU34S.tmp в %PROGRAM_FILES%\huanbang123\unins000.exe
- %PROGRAM_FILES%\huanbang123\is-NAJ09.tmp в %PROGRAM_FILES%\huanbang123\InstallDll.dll
Сетевая активность:
Подключается к:
- 'www.xi###i189.com':80
- '12#.#24.9.113':8022
- 'localhost':1036
TCP:
Запросы HTTP GET:
- www.xi###i189.com/new/bf02/default.html?fr#########
UDP:
- DNS ASK www.xi###i189.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
