Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'wjime' = '%PROGRAM_FILES%\Wuji\Wuji.exe auto'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\setup_qd099.exe'
- '%PROGRAM_FILES%\qiannuo_014.exe'
- '%PROGRAM_FILES%\play_2056_5316.exe'
- 'C:\kuping_s_50563.exe'
- '%TEMP%\wujiime.exe' /S
- '%PROGRAM_FILES%\wuzun-zm-159861-v3.exe'
- '%TEMP%\.weixin.exem\.weixin.exe'
- '<Текущая директория>\1.exe'
- '<Текущая директория>\weixin.exe'
- '%PROGRAM_FILES%\kuping_s_50563.exe'
- '%PROGRAM_FILES%\IFoxInstall-y-c206526410-s-nsi-tp-x.exe'
- '%PROGRAM_FILES%\365weatherIns_115.exe'
- 'C:\kuping_s_50563.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%PROGRAM_FILES%\1.vbs"
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass' WindowName: '(null)'
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: '(null)'
- ClassName: 'RegmonClass' WindowName: '(null)'
- ClassName: 'OLLYDBG' WindowName: '(null)'
- ClassName: 'GBDYLLO' WindowName: '(null)'
- ClassName: 'pediy06' WindowName: '(null)'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\.weixin.exem\image\inf30.bmp
- %TEMP%\.weixin.exem\image\btn51.bmp
- %TEMP%\.weixin.exem\image\inf32.bmp
- %TEMP%\.weixin.exem\image\inf31.bmp
- %TEMP%\.weixin.exem\image\btn47.bmp
- %TEMP%\.weixin.exem\image\btn46.bmp
- %TEMP%\.weixin.exem\image\btn50.bmp
- %TEMP%\.weixin.exem\image\btn48.bmp
- %TEMP%\.weixin.exem\image\inf33.bmp
- %TEMP%\.weixin.exem\help\main.jpg
- %TEMP%\.weixin.exem\image\mainform.bmp
- %TEMP%\.weixin.exem\help\yyy.jpg
- %TEMP%\.weixin.exem\help\qqhaoyou.jpg
- %TEMP%\.weixin.exem\image\inf40.bmp
- %TEMP%\.weixin.exem\image\inf39.bmp
- %TEMP%\.weixin.exem\image\inf42.bmp
- %TEMP%\.weixin.exem\image\inf41.bmp
- %TEMP%\.weixin.exem\image\btn30.bmp
- %TEMP%\.weixin.exem\image\btn20.bmp
- %TEMP%\.weixin.exem\image\btn32.bmp
- %TEMP%\.weixin.exem\image\btn31.bmp
- %TEMP%\.weixin.exem\weixin.exe
- %TEMP%\.weixin.exem\user.ini
- %TEMP%\.weixin.exem\yyymsg.ini
- %TEMP%\.weixin.exem\weixin.ini
- %TEMP%\.weixin.exem\image\btn36.bmp
- %TEMP%\.weixin.exem\image\btn43.bmp
- %TEMP%\.weixin.exem\image\btn42.bmp
- %TEMP%\.weixin.exem\image\btn45.bmp
- %TEMP%\.weixin.exem\image\btn44.bmp
- %TEMP%\.weixin.exem\image\btn38.bmp
- %TEMP%\.weixin.exem\image\btn37.bmp
- %TEMP%\.weixin.exem\image\btn41.bmp
- %TEMP%\.weixin.exem\image\btn40.bmp
- %TEMP%\wujiime.exe
- %TEMP%\nsg3.tmp\inetc.dll
- %TEMP%\nsc7.tmp\System.dll
- %TEMP%\nss6.tmp
- %TEMP%\nsg3.tmp\System.dll
- C:\kuping_s_50563.exe
- %TEMP%\nsg3.tmp\nsWindows.dll
- %TEMP%\nsg3.tmp\nsDialogs.dll
- %TEMP%\nsc7.tmp\metadl.dll
- %PROGRAM_FILES%\Wuji\Wuji.dll
- %PROGRAM_FILES%\Wuji\Wuji.dat
- %PROGRAM_FILES%\Wuji\update.exe
- %PROGRAM_FILES%\Wuji\Wuji.exe
- %PROGRAM_FILES%\wz\UnInstall.exe
- %PROGRAM_FILES%\wz\install_1396643464.tmp
- %PROGRAM_FILES%\Wuji\Show.dat
- %PROGRAM_FILES%\wz\wz.exe
- %TEMP%\nsg3.tmp\btn_close.bmp
- %TEMP%\nsg3.tmp\btn_next.bmp
- %TEMP%\nsg3.tmp\loading2.bmp
- %TEMP%\nsg3.tmp\loading1.bmp
- %TEMP%\.weixin.exem\.weixin.exe
- %TEMP%\.weixin.exem\help\yyy1.jpg
- %TEMP%\nsg3.tmp\bg.bmp
- %TEMP%\nsf2.tmp
- %TEMP%\nsg3.tmp\checkbox1.bmp
- %TEMP%\nsg3.tmp\newfeather2.jpg
- %TEMP%\nsg3.tmp\newfeather1.jpg
- %TEMP%\nsg3.tmp\SkinBtn.dll
- %TEMP%\nsg3.tmp\newfeather3.jpg
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kuping_s_50563[1].exe
- %TEMP%\nsg3.tmp\checkbox2.bmp
- %TEMP%\nsg3.tmp\ToggleImages.html
- %TEMP%\nsg3.tmp\btn_complete.bmp
- %TEMP%\.weixin.exem\ml110.dll
- <Текущая директория>\image\btn48.bmp
- <Текущая директория>\image\btn47.bmp
- <Текущая директория>\image\btn51.bmp
- <Текущая директория>\image\btn50.bmp
- <Текущая директория>\image\btn44.bmp
- <Текущая директория>\image\btn43.bmp
- <Текущая директория>\image\btn46.bmp
- <Текущая директория>\image\btn45.bmp
- <Текущая директория>\image\inf30.bmp
- <Текущая директория>\image\inf41.bmp
- <Текущая директория>\image\inf40.bmp
- <Текущая директория>\image\mainform.bmp
- <Текущая директория>\image\inf42.bmp
- <Текущая директория>\image\inf32.bmp
- <Текущая директория>\image\inf31.bmp
- <Текущая директория>\image\inf39.bmp
- <Текущая директория>\image\inf33.bmp
- <Текущая директория>\help\yyy.jpg
- <Текущая директория>\help\qqhaoyou.jpg
- <Текущая директория>\image\btn20.bmp
- <Текущая директория>\help\yyy1.jpg
- <Текущая директория>\weixin.ini
- <Текущая директория>\weixin.exe
- <Текущая директория>\help\main.jpg
- <Текущая директория>\yyymsg.ini
- <Текущая директория>\image\btn30.bmp
- <Текущая директория>\image\btn40.bmp
- <Текущая директория>\image\btn38.bmp
- <Текущая директория>\image\btn42.bmp
- <Текущая директория>\image\btn41.bmp
- <Текущая директория>\image\btn32.bmp
- <Текущая директория>\image\btn31.bmp
- <Текущая директория>\image\btn37.bmp
- <Текущая директория>\image\btn36.bmp
- %TEMP%\.weixin.exem\<Имя вируса>.exe
- %PROGRAM_FILES%\wuzun-zm-159861-v3.exe
- %PROGRAM_FILES%\365weatherIns_115.exe
- %PROGRAM_FILES%\1.vbs
- %PROGRAM_FILES%\setup_qd099.exe
- %PROGRAM_FILES%\qiannuo_014.exe
- %TEMP%\.weixin.exem\2014-03-10_020118.png
- %PROGRAM_FILES%\sz.url
- %PROGRAM_FILES%\duba.url
- %TEMP%\.weixin.exem\dzfmsg.ini
- %TEMP%\.weixin.exem\cxts001.dll
- %TEMP%\.weixin.exem\highgui110.dll
- %TEMP%\.weixin.exem\ffopencv110.dll
- %TEMP%\.weixin.exem\cv110.dll
- %TEMP%\.weixin.exem\bookmsg.ini
- %TEMP%\.weixin.exem\cxcore110.dll
- %TEMP%\.weixin.exem\cvaux110.dll
- <Текущая директория>\cxcore110.dll
- <Текущая директория>\cvaux110.dll
- <Текущая директория>\dzfmsg.ini
- <Текущая директория>\cxts001.dll
- <Текущая директория>\2014-03-10_020118.png
- <Текущая директория>\1.exe
- <Текущая директория>\cv110.dll
- <Текущая директория>\bookmsg.ini
- <Текущая директория>\ffopencv110.dll
- %TEMP%\.weixin.exem\1.exe
- %PROGRAM_FILES%\IFoxInstall-y-c206526410-s-nsi-tp-x.exe
- %PROGRAM_FILES%\play_2056_5316.exe
- %PROGRAM_FILES%\kuping_s_50563.exe
- <Текущая директория>\ml110.dll
- <Текущая директория>\highgui110.dll
- %TEMP%\$readtxttemp.txt
- <Текущая директория>\user.ini
Удаляет следующие файлы:
- %PROGRAM_FILES%\wz\install_1396643464.tmp
- %TEMP%\$readtxttemp.txt
Сетевая активность:
Подключается к:
- 'do####ad.wallba.com':80
- 'localhost':1043
- 'localhost':1036
- 'localhost':1038
TCP:
Запросы HTTP GET:
- do####ad.wallba.com/download.php/kuping_s_50563.exe
UDP:
- DNS ASK www.we###x.com.cn
- DNS ASK do##.guangsu.cn
- DNS ASK www.sz##yl.com
- DNS ASK do####ad.wallba.com
- DNS ASK www.du##.com
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: '(null)' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: '18467-41' WindowName: '(null)'
- ClassName: '3dfe22d3' WindowName: '??????....'
- ClassName: '#32770' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
