Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\freshdesk.exe'
- '%TEMP%\is-1ICBV.tmp\<Имя вируса>.tmp' /SL5="$30092,109284,51712,<Полный путь к вирусу>"
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Favorites\is-3OGI6.tmp
- %HOMEPATH%\Favorites\is-EBRDD.tmp
- %HOMEPATH%\Favorites\is-M92R9.tmp
- %HOMEPATH%\Favorites\is-A44FA.tmp
- %HOMEPATH%\Favorites\is-RB7T9.tmp
- %HOMEPATH%\Favorites\is-98MS9.tmp
- %HOMEPATH%\Favorites\is-G1082.tmp
- %HOMEPATH%\Favorites\is-RFC54.tmp
- %HOMEPATH%\Favorites\is-MI2PH.tmp
- %HOMEPATH%\Favorites\is-9Q8QB.tmp
- %HOMEPATH%\Favorites\is-BLACI.tmp
- %HOMEPATH%\Favorites\is-7A9HI.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1[1]
- %HOMEPATH%\Favorites\is-8JBSK.tmp
- %HOMEPATH%\Favorites\is-LI3H7.tmp
- %HOMEPATH%\Favorites\is-2LL5V.tmp
- %HOMEPATH%\Favorites\is-CCVNS.tmp
- %HOMEPATH%\Favorites\is-QR5VP.tmp
- <SYSTEM32>\is-RUOUB.tmp
- <SYSTEM32>\is-FVONC.tmp
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\is-CDFCB.tmp
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\is-7J3FF.tmp
- <SYSTEM32>\is-D1IB1.tmp
- %TEMP%\is-L7Q1E.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-1ICBV.tmp\<Имя вируса>.tmp
- <SYSTEM32>\is-F803Q.tmp
- %TEMP%\is-L7Q1E.tmp\_isetup\_shfoldr.dll
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\is-C870V.tmp
- %HOMEPATH%\Favorites\is-6E967.tmp
- %HOMEPATH%\Desktop\is-KDD1R.tmp
- %HOMEPATH%\Favorites\is-7S7VS.tmp
- %HOMEPATH%\Favorites\is-NSPO9.tmp
- %HOMEPATH%\Desktop\is-GFT0R.tmp
- %HOMEPATH%\Desktop\is-TONKT.tmp
- %HOMEPATH%\Desktop\is-MCHT8.tmp
- %HOMEPATH%\Desktop\is-EUEEM.tmp
- %HOMEPATH%\Desktop\is-7O8UG.tmp
Удаляет следующие файлы:
- %TEMP%\is-L7Q1E.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-1ICBV.tmp\<Имя вируса>.tmp
- %TEMP%\~DF7DD0.tmp
- %TEMP%\is-L7Q1E.tmp\_isetup\_RegDLL.tmp
Перемещает следующие файлы:
- %HOMEPATH%\Favorites\is-3OGI6.tmp в %HOMEPATH%\Favorites\Д§ѕ§»ГПл.url
- %HOMEPATH%\Favorites\is-EBRDD.tmp в %HOMEPATH%\Favorites\ИэК®БщјЖ.url
- %HOMEPATH%\Favorites\is-M92R9.tmp в %HOMEPATH%\Favorites\МФ±¦ХэЖ·ЙМіЗ.url
- %HOMEPATH%\Favorites\is-A44FA.tmp в %HOMEPATH%\Favorites\МФ±¦ИИВф.url
- %HOMEPATH%\Favorites\is-MI2PH.tmp в %HOMEPATH%\Favorites\УўРЫЦ®іЗ.url
- %HOMEPATH%\Favorites\is-98MS9.tmp в %HOMEPATH%\Favorites\·вЙсОЮµР.url
- %HOMEPATH%\Favorites\is-RB7T9.tmp в %HOMEPATH%\Favorites\ЙМТµґуєа.url
- %HOMEPATH%\Favorites\is-RFC54.tmp в %HOMEPATH%\Favorites\ЕМБъЙсД№.url
- %HOMEPATH%\Favorites\is-8JBSK.tmp в %HOMEPATH%\Favorites\МФ±¦КОЖ·Р¬°ь.url
- %HOMEPATH%\Favorites\is-CCVNS.tmp в %HOMEPATH%\Favorites\МФ±¦ГАИЭЖµµА.url
- %HOMEPATH%\Favorites\is-BLACI.tmp в %HOMEPATH%\Favorites\9u7УОП·Нш.url
- %HOMEPATH%\Favorites\is-7A9HI.tmp в %HOMEPATH%\Favorites\МФ±¦ИИВф·зФЖ°с.url
- %HOMEPATH%\Favorites\is-2LL5V.tmp в %HOMEPATH%\Favorites\МФ±¦Е®ИЛЖµµА.url
- %HOMEPATH%\Favorites\is-9Q8QB.tmp в %HOMEPATH%\Favorites\МФ±¦µзЖчЖµµА.url
- %HOMEPATH%\Favorites\is-QR5VP.tmp в %HOMEPATH%\Favorites\МФ±¦КэВлЖµµА.url
- %HOMEPATH%\Favorites\is-LI3H7.tmp в %HOMEPATH%\Favorites\МФ±¦ДРИЛЖµµА.url
- %HOMEPATH%\Favorites\is-G1082.tmp в %HOMEPATH%\Favorites\Ж®ГмПЙЅЈ.url
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\is-CDFCB.tmp в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\МФ±¦ИИВф.url
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\is-7J3FF.tmp в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk
- %HOMEPATH%\Desktop\is-MCHT8.tmp в %HOMEPATH%\Desktop\Internet Explorer.lnk
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\is-C870V.tmp в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\9u7УОП·Нш.url
- <SYSTEM32>\is-D1IB1.tmp в <SYSTEM32>\9u7.ico
- <SYSTEM32>\is-F803Q.tmp в <SYSTEM32>\taobao.ico
- <SYSTEM32>\is-RUOUB.tmp в <SYSTEM32>\Internet Explorer.lnk
- <SYSTEM32>\is-FVONC.tmp в <SYSTEM32>\freshdesk.exe
- %HOMEPATH%\Favorites\is-6E967.tmp в %HOMEPATH%\Favorites\·ЙМмОчУО.url
- %HOMEPATH%\Desktop\is-KDD1R.tmp в %HOMEPATH%\Desktop\9u7УОП·Нш.url
- %HOMEPATH%\Favorites\is-7S7VS.tmp в %HOMEPATH%\Favorites\ГчіЇК±ґъ.url
- %HOMEPATH%\Favorites\is-NSPO9.tmp в %HOMEPATH%\Favorites\µЇµЇМГ.url
- %HOMEPATH%\Desktop\is-7O8UG.tmp в %HOMEPATH%\Desktop\МФ±¦ХэЖ·ЙМіЗ.url
- %HOMEPATH%\Desktop\is-TONKT.tmp в %HOMEPATH%\Desktop\МФ±¦ИИВф.url
- %HOMEPATH%\Desktop\is-GFT0R.tmp в %HOMEPATH%\Desktop\µгїЄјґНжЈ¬µЇµЇМГ.url
- %HOMEPATH%\Desktop\is-EUEEM.tmp в %HOMEPATH%\Desktop\·ЙМмОчУОЈ¬ЧўІбјґНж.url
Сетевая активность:
Подключается к:
- 'fr##.qq437.cn':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- fr##.qq437.cn/1/?ci###########################
UDP:
- DNS ASK fr##.qq437.cn
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Progman' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: 'SHELLDLL_DefView' WindowName: '(null)'
