Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\3605] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\setup_2948-137376.exe'
- '<SYSTEM32>\sBaofeng5.22_31174458.exe'
- '<SYSTEM32>\ksbinstaller_s_66_59088.exe'
- '<SYSTEM32>\sBaofeng5.22_31174458.exe' (загружен из сети Интернет)
- '<SYSTEM32>\ksbinstaller_s_66_59088.exe' (загружен из сети Интернет)
- '<SYSTEM32>\setup_2948-137376.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' Create 3605 binPath= "cmd /c start <SYSTEM32>\shoserstyr.exe" type= own type= interact start= auto
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\ґуЛ®ЕЈНшВзµзКУ.exe
- <SYSTEM32>\sBaofeng5.22_31174458.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\2345[1]
- <SYSTEM32>\ksbinstaller_s_66_59088.exe
- <SYSTEM32>\setup_2948-137376.exe
Сетевая активность:
Подключается к:
- 'cl###.t3nlink.com':80
- 'www.tx##88.com':80
- 'u.##.#aofeng.com':80
- 'localhost':1036
- 'dl.####n.ijinshan.com':80
- 'www.23##.com':80
TCP:
Запросы HTTP GET:
- www.tx##88.com/2013/ds.exe
- u.##.#aofeng.com/upload/sBaofeng5.22_31174458.exe
- cl###.t3nlink.com/link/137376/setup_2948-137376.exe
- dl.####n.ijinshan.com/liebao/link/ksbinstaller_s_66_59088.exe
- www.23##.com/?k6#######
UDP:
- DNS ASK d.#####.ijinshan.com
- DNS ASK www.tx##88.com
- DNS ASK u.##.#aofeng.com
- DNS ASK www.du##.com
- DNS ASK dl.####n.ijinshan.com
- DNS ASK www.23##.com
- DNS ASK cl###.t3nlink.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
