Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\notepad.exe' <Текущая директория>\四部小说百度网盘下载地址.txt
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.tt##23.cn/?u=#########" /f
- '<SYSTEM32>\cmd.exe' /c ""<Текущая директория>\设置主页.bat" "
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ttx123[1]
- <Текущая директория>\四部小说百度网盘下载地址.txt
- <Текущая директория>\duba.ico
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\2345[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\1803972[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\duba[1]
- <Текущая директория>\hao123_上网从这里开始.url
- <Текущая директория>\hao123.ico
- <Текущая директория>\2345推广.url
- <Текущая директория>\设置主页.bat
- <Текущая директория>\毒霸网址大全 - 最安全实用的网址导航.url
- <Текущая директория>\城通网盘.url
Удаляет следующие файлы:
- <Текущая директория>\hao123.ico
- <Текущая директория>\duba.ico
Сетевая активность:
Подключается к:
- 'www.40##b.com':80
- 'www.23##.com':80
- 'www.du##.com':80
- 'localhost':1033
- 'www.tt##23.cn':80
TCP:
Запросы HTTP GET:
- www.40##b.com/u/1803972
- www.23##.com/?k4#######
- www.tt##23.cn/?u=#########
- www.du##.com/?un#########
UDP:
- DNS ASK www.40##b.com
- DNS ASK www.23##.com
- DNS ASK www.tt##23.cn
- DNS ASK www.du##.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
