Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'PaopaoWeather' = '"%PROGRAM_FILES%\PaopaoWeather14042317\PaopaoWeather.exe" -system'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\PaopaoWeather14042317\PaoPaoWeather.exe' -rlow
- '%PROGRAM_FILES%\PaopaoWeather14042317\PaoPaoWeather.exe' -mini
- '%PROGRAM_FILES%\PaopaoWeather14042317\PaoPaoWeather.exe' -install
- '%TEMP%\1.tmp\TV_25_27028_.exe' /sp- /verysilent /suppressmsgboxes /norestart
- '%TEMP%\is-BVR7A.tmp\TV_25_27028_.tmp' /SL5="$300DE,551461,72192,%TEMP%\1.tmp\TV_25_27028_.exe" /sp- /verysilent /suppressmsgboxes /norestart
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\setup.bat" "
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\PaopaoWeather14042317\is-8K53B.tmp
- %PROGRAM_FILES%\PaopaoWeather14042317\Images\future\is-UTHM6.tmp
- %PROGRAM_FILES%\PaopaoWeather14042317\Images\large\is-K55IJ.tmp
- %PROGRAM_FILES%\PaopaoWeather14042317\is-FPJNR.tmp
- %APPDATA%\Sogou.ico
- %HOMEPATH%\Desktop\Internet Sogou.lnk
- %PROGRAM_FILES%\PaopaoWeather14042317\is-9BGQC.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\PaopaoWeather\4472ѕшЙ«µзУ°Нш.url
- %PROGRAM_FILES%\PaopaoWeather14042317\unins000.msg
- %PROGRAM_FILES%\PaopaoWeather14042317\unins000.dat
- %ALLUSERSPROFILE%\Start Menu\Programs\PaopaoWeather\Р¶ФШ PaopaoWeather.lnk
- %PROGRAM_FILES%\PaopaoWeather14042317\Images\small\is-ICPNV.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\PaopaoWeather\PaopaoWeather НшХѕ.url
- %ALLUSERSPROFILE%\Start Menu\Programs\PaopaoWeather\PaopaoWeather.lnk
- %TEMP%\is-BVR7A.tmp\TV_25_27028_.tmp
- %TEMP%\is-LLH9U.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-LLH9U.tmp\_isetup\_shfoldr.dll
- %TEMP%\1.tmp\Sunshine_8115_27028_hd.exe
- %TEMP%\1.tmp\setup.bat
- %TEMP%\1.tmp\TV_25_27028_.exe
- %TEMP%\1.tmp\TV_48_27028_.exe
- %HOMEPATH%\Desktop\ГАЕ®КУЖµ.lnk
- %APPDATA%\єГНжµДУОП·.ico
- %HOMEPATH%\Desktop\єГНжµДУОП·.lnk
- %APPDATA%\ГАЕ®КУЖµ.ico
- %TEMP%\is-LLH9U.tmp\Support.dll
- %APPDATA%\ѕшЙ«µзУ°.ico
- %HOMEPATH%\Desktop\ѕшЙ«µзУ°.lnk
Удаляет следующие файлы:
- %PROGRAM_FILES%\PaopaoWeather14042317\PaopaoWeather.exe
Перемещает следующие файлы:
- %PROGRAM_FILES%\PaopaoWeather14042317\Images\future\is-UTHM6.tmp в %PROGRAM_FILES%\PaopaoWeather14042317\Images\future\n99.png
- %PROGRAM_FILES%\PaopaoWeather14042317\Images\large\is-K55IJ.tmp в %PROGRAM_FILES%\PaopaoWeather14042317\Images\large\n99.png
- %PROGRAM_FILES%\PaopaoWeather14042317\Images\small\is-ICPNV.tmp в %PROGRAM_FILES%\PaopaoWeather14042317\Images\small\n99.png
- %PROGRAM_FILES%\PaopaoWeather14042317\is-9BGQC.tmp в %PROGRAM_FILES%\PaopaoWeather14042317\unins000.exe
- %PROGRAM_FILES%\PaopaoWeather14042317\is-FPJNR.tmp в %PROGRAM_FILES%\PaopaoWeather14042317\PaopaoWeather.exe
- %PROGRAM_FILES%\PaopaoWeather14042317\is-8K53B.tmp в %PROGRAM_FILES%\PaopaoWeather14042317\PaoPaoWeather.exe
Сетевая активность:
Подключается к:
- 'sp#.#ianqi.com':80
- 'localhost':1043
- 'localhost':1050
- 'localhost':1047
- 'im#.#sers.51.la':80
- 'pa###o.5411.com':80
- 'localhost':1035
- 'localhost':1039
- 'localhost':1038
TCP:
Запросы HTTP GET:
- pa###o.5411.com/applist/Update.xml
- pa###o.5411.com/applist/Config.xml
- sp#.#ianqi.com/index.php?c=#################
- pa###o.5411.com/applist/index150.php
- im#.#sers.51.la/14882516.asp
UDP:
- DNS ASK sp#.#ianqi.com
- DNS ASK pp####nt.5411.com
- DNS ASK pa###o.5411.com
- DNS ASK im#.#sers.51.la
Другое:
Ищет следующие окна:
- ClassName: 'Progman' WindowName: 'Program Manager'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
