Техническая информация
Вредоносные функции:
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\CqWdS[1].jpg
- %TEMP%\setup1256858.zip
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\zWuRk[1].jpg
- %TEMP%\setup_3236.zip
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cXTy0[1].jpg
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\Z97Km[1].jpg
- %TEMP%\nsp7.tmp\Inetc.dll
- %TEMP%\nsp7.tmp\ZipDLL.dll
- %TEMP%\setup_leis.zip
- %TEMP%\365weatherIns_60.zip
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\oYfGK[1].jpg
- %TEMP%\_kkzm02_s.zip
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mxP5j[1].jpg
- %TEMP%\-8397_1_MM.zip
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\klSnJ[1].jpg
- %TEMP%\s2222.zip
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\DBwV1[1].jpg
- %TEMP%\ahtl_31.zip
- %TEMP%\nsp7.tmp\nsProcess.dll
- %TEMP%\nso4.tmp
- %TEMP%\i.rar
- %TEMP%\nsp7.tmp\System.dll
- %TEMP%\nsv6.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\iplookup[1].php
- %TEMP%\nsx3.tmp\System.dll
- %TEMP%\nsh2.tmp
- %TEMP%\nsx3.tmp\Inetc.dll
- %TEMP%\nsx3.tmp\Base64.dll
- %HOMEPATH%\Start Menu\Programs\Leplayer\Uninstall.lnk
- %HOMEPATH%\Desktop\НшЦ·µјєЅ.lnk
- %TEMP%\nsp7.tmp\Base64.dll
- %PROGRAM_FILES%\Leplayer\uninst.exe
- %HOMEPATH%\Desktop\Leplayer.lnk
- %PROGRAM_FILES%\Leplayer\setup_qd257.exe
- %PROGRAM_FILES%\Leplayer\_kkzm02_s.exe
- %HOMEPATH%\Start Menu\Programs\Leplayer\Leplayer.lnk
- %PROGRAM_FILES%\Leplayer\hao123.ico
Удаляет следующие файлы:
- %TEMP%\nsp7.tmp\nsProcess.dll
- %TEMP%\nsp7.tmp\System.dll
- %TEMP%\nsp7.tmp\ZipDLL.dll
- %TEMP%\nso4.tmp
- %TEMP%\nsp7.tmp\Base64.dll
- %TEMP%\nsp7.tmp\Inetc.dll
Сетевая активность:
Подключается к:
- 'pi#.#upoo.com':80
- 'in#.###ol.sina.com.cn':80
TCP:
Запросы HTTP GET:
- pi#.#upoo.com/union888/DBtAb5cg/DBwV1.jpg
- pi#.#upoo.com/union888/DBtFu8ZN/klSnJ.jpg
- pi#.#upoo.com/union888/DBtAbXji/mxP5j.jpg
- pi#.#upoo.com/union888/DBtAinqA/oYfGK.jpg
- pi#.#upoo.com/union888/DBtALErA/zWuRk.jpg
- pi#.#upoo.com/union888/DBtBf50Z/Z97Km.jpg
- in#.###ol.sina.com.cn/iplookup/iplookup.php
- pi#.#upoo.com/union888/DBtAZwYO/CqWdS.jpg
- pi#.#upoo.com/union888/DBtBNei1/cXTy0.jpg
UDP:
- DNS ASK pi#.#upoo.com
- DNS ASK in#.###ol.sina.com.cn
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
