Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\1.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tempVidio.bat" "
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\问道免费外挂\版本更新信息.txt
- <Текущая директория>\问道免费外挂\海阔天空音乐站.htm
- <Текущая директория>\1.exe
- <Текущая директория>\问道免费外挂\问道电灯泡v0804免费版.exe
- <Текущая директория>\问道免费外挂\购买收费外挂.url
- <Текущая директория>\问道免费外挂\海阔天空外挂.url
- %TEMP%\mfc1.tmp
- %WINDIR%\system\mfc1.ime
- %WINDIR%\system\ddraw.dll
- <SYSTEM32>\dllcache\ddraw.dll
- %TEMP%\tempVidio.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\1.exe
Удаляет следующие файлы:
- %TEMP%\mfc1.tmp
Перемещает следующие системные файлы:
- <SYSTEM32>\ddraw.dll в <SYSTEM32>\ddraw.dll.FPZT
- <SYSTEM32>\dllcache\ddraw.dll в <SYSTEM32>\dllcache\ddraw.dll.TCHG
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
