Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' <SYSTEM32>\dm.dll /s
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- C:\wir\ИЛ13.bmp
- C:\wir\ИЛ12.bmp
- C:\wir\ґґЅЁ·їјд.bmp
- C:\wir\НЖјцµАѕЯ№Ш±Х.bmp
- C:\wir\ИЛ15.bmp
- C:\wir\ИЛ14.bmp
- C:\wir\ПВЦГ¶Ґ.bmp
- C:\wir\·їјдГы.bmp
- C:\wir\їЄКјУОП·3.bmp
- C:\wir\°µµДЧј±ё.bmp
- C:\wir\ББµДЧј±ё.bmp
- C:\wir\ЅшИл°ґЕҐ.bmp
- C:\wir\ПВЦГ¶Ґ1.bmp
- C:\wir\ґуД®999.bat
- C:\wir\ѕЬѕш.bmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\yy[1]
- C:\wir\ІејюІејю.exe
- C:\wir\ПВЦГ¶Ґ2.bmp
- C:\wir\Лш¶Ё13»ШєП.bmp
- C:\wir\єєЧУ.txt
- C:\wir\ЗлЗујУєГУС.bmp
- C:\wir\ЛС·ї.bmp
- C:\wir\ББµДПВЦГ¶Ґ.bmp
- C:\wir\І»±Јґж1.bmp
- C:\wir\їЄКјУОП·2.bmp
- C:\wir\И·¶Ё3.bmp
- C:\wir\И·¶Ё2.bmp
- C:\wir\И·¶Ё1.bmp
- C:\wir\»о¶Ї№Ш±Х.bmp
- C:\wir\ЅбКшИ·¶Ё.bmp
- C:\wir\И·¶Ё4.bmp
- C:\wir\dm.dll
- C:\wir\7xing_installer_200_0014.exe
- <SYSTEM32>\dm.dll
- C:\wir\И·¶Ё.bmp
- C:\wir\їЄКјУОП·.bmp
- C:\wir\јУИлУОП·.bmp
- C:\wir\ЅбКшИ·¶Ё2.bmp
- C:\wir\И·ИП.bmp
- C:\wir\іЖєЕ.bmp
- C:\wir\јУИлУОП·3.bmp
- C:\wir\јУИлУОП·2.bmp
- C:\wir\ЅбКшИ·¶Ё3.bmp
- C:\wir\ИЎПы.bmp
- C:\wir\ИЎПы1.bmp
- C:\wir\ХвКЗ±¦ІШ.bmp
- C:\wir\К®Иэ»ШєП.bmp
- C:\wir\ЛАНцЛнµА.bmp
- C:\wir\№Ш±Х.bmp
Сетевая активность:
Подключается к:
- 'yy.com':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- yy.com/
UDP:
- DNS ASK www.52##eba.com
- DNS ASK yy.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
