Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\wdpufkrg] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\down_s_66_62202.exe'
- '%TEMP%\RarSFX0\SSQBZ.bmp'
- '%TEMP%\RarSFX0\双色球霸主6.0.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' %WINDIR%\Media\ActiveX.ocx /s
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\FP\FP2011112-02.FP
- %TEMP%\RarSFX0\FP\FP2011119-01.FP
- %TEMP%\RarSFX0\FP\FP2011112-01.FP
- %TEMP%\RarSFX0\FP\FP2011040-01.FP
- %TEMP%\RarSFX0\FP\FP2011085-01.FP
- %TEMP%\RarSFX0\FP\FP2011137-01.FP
- %TEMP%\RarSFX0\FP\FP2012007-01.FP
- %TEMP%\RarSFX0\FP\FP2011129-01.FP
- %TEMP%\RarSFX0\FP\FP2011120-01.FP
- %TEMP%\RarSFX0\FP\FP2011121-01.FP
- %TEMP%\RarSFX0\FP\FP2010034-01.FP
- %TEMP%\RarSFX0\FP\FP2010046-01.FP
- %TEMP%\RarSFX0\FP\FP2010030-01.FP
- %TEMP%\RarSFX0\FP\FP2009099-01.FP
- %TEMP%\RarSFX0\FP\FP2009132-01.FP
- %TEMP%\RarSFX0\FP\FP2010153-01.FP
- %TEMP%\RarSFX0\FP\FP2011002-01.FP
- %TEMP%\RarSFX0\FP\FP2010141-01.FP
- %TEMP%\RarSFX0\FP\FP2010092-01.FP
- %TEMP%\RarSFX0\FP\FP2010101-01.FP
- %TEMP%\RarSFX0\djgn.bmp
- %WINDIR%\pp.jpg
- %TEMP%\RarSFX0\TZ\TZ2012027-01.TXT
- %TEMP%\RarSFX0\TZ\TZ2010034-01.TXT
- %TEMP%\RarSFX0\TZ\TZ2012009-01.TXT
- %TEMP%\send_bcc.gz
- <LS_APPDATA>\liebao\Bootsetup\2.1.11.3341\66\boot_setup.pack.tmp
- %WINDIR%\Media\ActiveX.ocx
- %WINDIR%\Media\Desktop.ini:dbase.mdb
- %WINDIR%\Media\Desktop.ini:dbase.ldb
- %TEMP%\RarSFX0\FP\FP2012027-01.FP
- %TEMP%\RarSFX0\GL\GL2010034-01.TXT
- %TEMP%\RarSFX0\FP\FP2012025-02.FP
- %TEMP%\RarSFX0\FP\FP2012012-01.FP
- %TEMP%\RarSFX0\FP\FP2012025-01.FP
- %TEMP%\RarSFX0\res\xz.ico
- %TEMP%\RarSFX0\res\安装协议.txt
- %TEMP%\RarSFX0\res\wjj.ico
- %TEMP%\RarSFX0\GL\GL2012027-01.TXT
- %TEMP%\RarSFX0\res\SSQBZ.ico
- %TEMP%\RarSFX0\FP\FP2009079-01.FP
- %TEMP%\RarSFX0\ssgl.bmp
- %TEMP%\RarSFX0\SSQBZ.bmp
- %TEMP%\RarSFX0\sjxz.bmp
- %TEMP%\RarSFX0\plt.bmp
- %TEMP%\RarSFX0\rjzc.bmp
- %TEMP%\RarSFX0\SSQBZ.res
- %TEMP%\RarSFX0\SSQBZDlg.obj
- %TEMP%\RarSFX0\SSQBZ.obj
- %TEMP%\RarSFX0\SSQBZ.exe.bak
- %TEMP%\RarSFX0\SSQBZ.exe.org
- %TEMP%\RarSFX0\fbt.bmp
- %TEMP%\RarSFX0\fpgn.bmp
- %TEMP%\RarSFX0\exit.bmp
- %TEMP%\RarSFX0\DLoad.obj
- %TEMP%\RarSFX0\down_s_66_62202.exe
- %TEMP%\RarSFX0\KINSTALLERS_66_46553.exe
- %TEMP%\RarSFX0\mngn.bmp
- %TEMP%\RarSFX0\jyjl.bmp
- %TEMP%\RarSFX0\Help.bmp
- %TEMP%\RarSFX0\Inif.DAT
- %TEMP%\RarSFX0\FP\FP2008007-01.FP
- %TEMP%\RarSFX0\FP\FP2008024-01.FP
- %TEMP%\RarSFX0\FP\FP2007085-01.FP
- %TEMP%\RarSFX0\vc60.idb
- %TEMP%\RarSFX0\双色球霸主6.0.exe
- %TEMP%\RarSFX0\FP\FP2008102-01.FP
- %TEMP%\RarSFX0\FP\FP2009021-01.FP
- %TEMP%\RarSFX0\FP\FP2008091-01.FP
- %TEMP%\RarSFX0\FP\FP2008028-01.FP
- %TEMP%\RarSFX0\FP\FP2008032-01.FP
- %TEMP%\RarSFX0\SSQLD60.TXT
- %TEMP%\RarSFX0\StdAfx.obj
- %TEMP%\RarSFX0\SSQLD60.DAT
- %TEMP%\RarSFX0\SSQBZN.DAT
- %TEMP%\RarSFX0\SSQCQ.DAT
- %TEMP%\RarSFX0\tjzl.bmp
- %TEMP%\RarSFX0\UnInstall 双色球霸主6.0.log
- %TEMP%\RarSFX0\SWAT3.LIB
- %TEMP%\RarSFX0\SWAT1.LIB
- %TEMP%\RarSFX0\SWAT2.LIB
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\RarSFX0\KINSTALLERS_66_46553.exe
Удаляет следующие файлы:
- <LS_APPDATA>\liebao\Bootsetup\2.1.11.3341\66\boot_setup.pack
Перемещает следующие файлы:
- <LS_APPDATA>\liebao\Bootsetup\2.1.11.3341\66\boot_setup.pack.tmp в <LS_APPDATA>\liebao\Bootsetup\2.1.11.3341\66\boot_setup.pack
Сетевая активность:
Подключается к:
- 'lb##.##ion.ijinshan.com':80
- 'lb####.tj.ijinshan.com':80
TCP:
Запросы HTTP GET:
- lb##.##ion.ijinshan.com/?pi###############################
Запросы HTTP POST:
- lb####.tj.ijinshan.com/data/
UDP:
- DNS ASK lb##.##ion.ijinshan.com
- DNS ASK lb####.tj.ijinshan.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
