Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\Loader_forqd312.exe'
- '%TEMP%\ddsp2.exe'
- '%TEMP%\LavaGame_2.2.exe'
- '%TEMP%\inl2.tmp' cdf1912.tmp
- '%TEMP%\jm_setup_qvod.exe'
- '%TEMP%\ddsp2.exe' (загружен из сети Интернет)
- '%TEMP%\LavaGame_2.2.exe' (загружен из сети Интернет)
- '%TEMP%\jm_setup_qvod.exe' (загружен из сети Интернет)
- '%TEMP%\Loader_forqd312.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmp_ext_favurl_cab.bat" "
- '<SYSTEM32>\expand.exe' "%TEMP%\favorites_url.cab" -F:*.* "%HOMEPATH%\Favorites"
- '<SYSTEM32>\msiexec.exe' -Embedding 22A7D0DC181BC7B71C34151253A48117
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\run_dws_file.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\run_kl_file.bat" "
- '<SYSTEM32>\msiexec.exe' /i "%TEMP%\ins1.tmp.msi" /quiet
- '<SYSTEM32>\msiexec.exe' /V
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\71528.vbs
- %TEMP%\MSI363db.LOG
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\jm_setup_qvod[1].exe
- %WINDIR%\Installer\MSI4.tmp
- C:\Config.Msi\30340.rbs
- %TEMP%\jm_setup_qvod.exe
- %TEMP%\LavaGame_2.2.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ddsp2[1].exe
- %TEMP%\ddsp2.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\Loader_forqd312[1].exe
- %TEMP%\Loader_forqd312.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\LavaGame_2.2[1].exe
- %APPDATA%\ampw.ooe.ini
- %TEMP%\inl2.tmp
- %WINDIR%\Installer\3033d.msi
- %TEMP%\run_dws_file.bat
- %TEMP%\cdf1912.tmp
- %TEMP%\run_kl_file.bat
- %TEMP%\ins1.tmp.msi
- %TEMP%\favorites_url.cab
- %HOMEPATH%\Favorites\ГАЕ®АЦФ°.url
- %HOMEPATH%\Favorites\°Щ№ИµзУ°.url
- %HOMEPATH%\Favorites\їґїґµзУ°.url
- %TEMP%\tmp_ext_favurl_cab.bat
- %HOMEPATH%\Favorites\°ЛШФЙ«Нј.url
- %HOMEPATH%\Favorites\ґґТµН¶ЧКєГПоДї.url
Удаляет следующие файлы:
- %WINDIR%\Installer\3033d.msi
- %WINDIR%\Installer\3033f.ipi
- %TEMP%\inl2.tmp
- C:\Config.Msi\30340.rbs
- %WINDIR%\Installer\MSI4.tmp
- %WINDIR%\Installer\30341.msi
- %TEMP%\71528.vbs
Самоудаляется.
Сетевая активность:
Подключается к:
- 'www.xu###i100.com':80
- 'do####ad.lava.cn':80
- 'bo###gqi.6gg.cn':80
- 'localhost':1037
- '12#.#4.155.219':9091
TCP:
Запросы HTTP GET:
- do####ad.lava.cn/GAME/36/LavaGame_2.2.exe
- www.xu###i100.com/youbak/software/partner/9010/ddsp2.exe
- bo###gqi.6gg.cn/jm_setup_qvod.exe
- www.xu###i100.com/msn/software/partner/s/Loader_forqd312.exe
UDP:
- DNS ASK do####ad.lava.cn
- DNS ASK www.xu###i100.com
- DNS ASK bo###gqi.6gg.cn
