Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Control\Session Manager] 'BootExecute' = ''
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Создает и запускает на исполнение:
- '%TEMP%\coopen_setup_100180.exe'
- '%TEMP%\haowan_400000_8000.exe'
- '%TEMP%\dwt1.tmp' dwt
- '%TEMP%\qd232.exe'
- '%TEMP%\haowan_400000_8000.exe' (загружен из сети Интернет)
- '%TEMP%\qd232.exe' (загружен из сети Интернет)
- '%TEMP%\coopen_setup_100180.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://tc.##654321.com/
- '<SYSTEM32>\expand.exe' "%TEMP%\favorites_url.cab" -F:*.* "%HOMEPATH%\Favorites"
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://www.38##2.com/baohanye.htm
- '<SYSTEM32>\expand.exe' "%TEMP%\quicklaunch_lnk.cab" "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\╞Ї╢п Internet Explorer фп└└╞ў.lnk"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmp_run_ql_lnk_cab.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmp_run_desk_url_cab.bat" "
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://ju###.#1119.cn:27889/report3.ashx?m=#################################################################################
- '<SYSTEM32>\expand.exe' "%TEMP%\desktop_url.cab" -F:*.* "%HOMEPATH%\Desktop"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmp_run_fav_url_cab.bat" "
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\baohanye[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\tc.go654321[1]
- %TEMP%\qd232.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\coopen_setup_100180[1].exe
- %TEMP%\haowan_400000_8000.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\haowan_400000_8000[1].exe
- %TEMP%\coopen_setup_100180.exe
- %APPDATA%\skin.ini
- %WINDIR%\Help\NVWAPZHCD.hlp
- %TEMP%\dwt1.tmp
- %TEMP%\tmp_run_desk_url_cab.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\qd232[1].exe
- %TEMP%\tmp_run_ql_lnk_cab.bat
- %TEMP%\tmp_run_fav_url_cab.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Help\NVWAPZHCD.hlp
Сетевая активность:
Подключается к:
- 'tc.##654321.com':80
- 'ju###.41119.cn':27889
- 'do####ad.coopen.cn':80
- 'www.38##2.com':80
- 'www.xu###i100.com':80
- 'localhost':1037
- 'localhost':1036
- 'localhost':1040
- 'localhost':1038
TCP:
Запросы HTTP GET:
- do####ad.coopen.cn/setup/v5/coopen_setup_100180.exe
- www.xu###i100.com/msn/software/partner/2m/haowan_400000_8000.exe
- www.38##2.com/baohanye.htm
- www.xu###i100.com/msn/software/partner/sqj/qd232.exe
- tc.##654321.com/
UDP:
- DNS ASK www.38##2.com
- DNS ASK dl.##ubak.com
- DNS ASK do####ad.coopen.cn
- DNS ASK www.xu###i100.com
- DNS ASK ju###.41119.cn
- DNS ASK tc.##654321.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
