Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\HuoBao_166_9.exe'
- 'C:\kuping_s_50698.exe'
- 'C:\IFoxInstall-y-c203946716-run-s-x.exe'
- 'C:\jKINSTALLERS_60_200728.exe'
- 'C:\setup_t10112.exe'
- '%TEMP%\vbs.exe' %TEMP%\vbs.vbs
- 'C:\UUSEE_qidian_Setup_3969.exe'
- 'C:\xiaocai_setup_2101.exe'
- 'C:\setup_3019-51627.exe'
- 'C:\setup_3019-51627.exe' (загружен из сети Интернет)
- 'C:\jKINSTALLERS_60_200728.exe' (загружен из сети Интернет)
- 'C:\IFoxInstall-y-c203946716-run-s-x.exe' (загружен из сети Интернет)
- 'C:\xiaocai_setup_2101.exe' (загружен из сети Интернет)
- 'C:\UUSEE_qidian_Setup_3969.exe' (загружен из сети Интернет)
- 'C:\kuping_s_50698.exe' (загружен из сети Интернет)
- 'C:\setup_t10112.exe' (загружен из сети Интернет)
- 'C:\HuoBao_166_9.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- C:\setup_t10112.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\jKINSTALLERS_60_200728[1].exe
- C:\HuoBao_166_9.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\setup_t10112[1].exe
- C:\jKINSTALLERS_60_200728.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\setup_3019-51627[1].exe
- C:\setup_3019-51627.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\IFoxInstall-y-c203946716-run-s-x[1].exe
- C:\IFoxInstall-y-c203946716-run-s-x.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\UUSEE_qidian_Setup_3969[1].exe
- C:\UUSEE_qidian_Setup_3969.exe
- %TEMP%\vbs.exe
- %TEMP%\vbs.vbs
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\xiaocai_setup_2101[1].exe
- C:\kuping_s_50698.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\HuoBao_166_9[1].exe
- C:\xiaocai_setup_2101.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\kuping_s_50698[1].exe
Удаляет следующие файлы:
- %TEMP%\vbs.vbs
Сетевая активность:
Подключается к:
- 'd.#####.ijinshan.com':80
- 'www.sj##.com':80
- '18#.#1.251.131':80
- '23.##4.210.3':8080
- 'do##.yinyue.fm':80
- 'do####ad.uusee.com':80
- 'localhost':1036
- 'do#####d.wk12345.com':80
- 'ba###.cn9001.com':80
- 'do####ad.wallba.com':80
TCP:
Запросы HTTP GET:
- d.#####.ijinshan.com/duba/link/jKINSTALLERS_60_200728.exe
- www.sj##.com/hezi/jm/setup_t10112.exe
- do##.yinyue.fm/open/setup_3019-51627.exe
- 18#.#1.251.131/ifox/TGPgoEo3TGwCodVok5XuJEsdJwuYq5QdqwXYol-WaExNs91v/IFoxInstall-y-c203946716-run-s-x.exe
- do#####d.wk12345.com/xczm/xiaocai_setup_2101.exe
- do####ad.uusee.com/pop1/qidian/UUSEE_qidian_Setup_3969.exe
- ba###.cn9001.com/down-jm/HuoBao_166_9.exe
- do####ad.wallba.com/download.php/kuping_s_50698.exe
UDP:
- DNS ASK www.sj##.com
- DNS ASK d.#####.ijinshan.com
- DNS ASK do##.yinyue.fm
- DNS ASK ba###.cn9001.com
- DNS ASK do####ad.uusee.com
- DNS ASK do#####d.wk12345.com
- DNS ASK do####ad.wallba.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
