Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\sidshow\tmp0190.exe'
- '%TEMP%\sidshow\bgswitch.exe'
- '%TEMP%\sidshow\tmp0190.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%TEMP%\sidshow\bgswitch.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\sidshow\reg.vbs"
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tmp000001[1].exe
- %TEMP%\sidshow\tmp0190.exe
- %TEMP%\sidshow\bgswitch.exe
- %TEMP%\sidshow\reg.vbs
- %TEMP%\sidshow\bgswitch.dll
Удаляет следующие файлы:
- %TEMP%\sidshow\tmp0190.exe
- %TEMP%\sidshow\bgswitch.vbs
- %TEMP%\sidshow\reg.vbs
Перемещает следующие файлы:
- %TEMP%\sidshow\bgswitch.dll в %TEMP%\sidshow\bgswitch.vbs
Сетевая активность:
Подключается к:
- '21.##.ftn.qq.com':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- 21.##.ftn.qq.com/ftn_handler/035983d5b9e288a1000856e974d1608f4c8aa9966f18d3176b04c0485a44c3b2126d4ad960d994934930fa45ad0fd0dad5f9652f0e90de6e23f8ffc0383388c7/tmp000001.exe
UDP:
- DNS ASK 21.##.ftn.qq.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
