Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'KXGameBox' = '%PROGRAM_FILES%\KXWebGameBox\WebGameBox.exe AutoRun'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\wz\Wz.exe'
- '%PROGRAM_FILES%\fjyy\fjyy.exe'
- '%PROGRAM_FILES%\KXWebGameBox\WebBoxBubbleTip.exe' 2
- '%PROGRAM_FILES%\KXWebGameBox\LoginTool.exe'
- '%PROGRAM_FILES%\KXWebGameBox\WebBoxInstStatis.exe' webkxboxIntall123321
- 'C:\fjyy_slient_zhimeng_162404.exe'
- 'C:\wuzun-zm-157299-v6.exe'
- 'C:\pczh_110_156848.exe'
- 'C:\KXWebBox_8000.251_RBG.exe'
- 'C:\kuping_b_53241.exe'
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\FlashFXP]
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\KXWebGameBox\LoginTool.exe
- %PROGRAM_FILES%\KXWebGameBox\WebBoxUninstall.exe
- %PROGRAM_FILES%\KXWebGameBox\StartTool.exe
- %PROGRAM_FILES%\KXWebGameBox\WebGameboxUpdate.exe
- %PROGRAM_FILES%\KXWebGameBox\WebGameData.dll
- %PROGRAM_FILES%\KXWebGameBox\zipdll.dll
- %PROGRAM_FILES%\KXWebGameBox\ConfigData.dll
- %PROGRAM_FILES%\KXWebGameBox\WebGameBoxActiveWnd.exe
- %PROGRAM_FILES%\KXWebGameBox\SendBreakLog.exe
- %PROGRAM_FILES%\KXWebGameBox\TimeToolWnd.exe
- %PROGRAM_FILES%\KXWebGameBox\WebBoxInstStatis.exe
- %PROGRAM_FILES%\KXWebGameBox\MicroEndBrowser.exe
- %PROGRAM_FILES%\KXWebGameBox\WebGameBox.exe
- %PROGRAM_FILES%\KXWebGameBox\WebBoxBubbleTip.exe
- <LS_APPDATA>\附件应用.lnk
- %PROGRAM_FILES%\KXWebGameBox\Goal.dll
- %PROGRAM_FILES%\KXWebGameBox\libcurl.dll
- %PROGRAM_FILES%\KXWebGameBox\TongJICNZZ.dll
- %PROGRAM_FILES%\KXWebGameBox\ExeConfig.ini
- %PROGRAM_FILES%\KXWebGameBox\Image\SendMailState.gif
- %PROGRAM_FILES%\KXWebGameBox\Image\small.ico
- %PROGRAM_FILES%\KXWebGameBox\Image\smallgame.ico
- %PROGRAM_FILES%\KXWebGameBox\ProcessFile.dll
- %PROGRAM_FILES%\KXWebGameBox\Shortcut.dll
- %PROGRAM_FILES%\KXWebGameBox\Statistics.dll
- %PROGRAM_FILES%\KXWebGameBox\NetWork.dll
- %PROGRAM_FILES%\KXWebGameBox\LogPrint.dll
- %PROGRAM_FILES%\KXWebGameBox\msvcp100.dll
- %PROGRAM_FILES%\KXWebGameBox\msvcr100.dll
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\53.ico
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\59.ico
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\60.ico
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\49.ico
- <LS_APPDATA>\唐门武尊.lnk
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\47.ico
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\48.ico
- %HOMEPATH%\Templates\112014616331640\YYM_955WD30.gif
- %PROGRAM_FILES%\KXWebGameBox\comfig.ini
- %HOMEPATH%\Start Menu\Programs\їбРЬТіУОґуМь\їбРЬТіУОґуМь.lnk
- %HOMEPATH%\Desktop\ОдТЧґ«Жж.lnk
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\62.ico
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\skin\53.rss
- %PROGRAM_FILES%\KXWebGameBox\uninst.exe
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\46.ico
- %PROGRAM_FILES%\KXWebGameBox\res\WebGameBoxActiveRes.rss
- %PROGRAM_FILES%\KXWebGameBox\res\WebGameBoxRes.rss
- %PROGRAM_FILES%\KXWebGameBox\res\WebGameBoxRes.tmp
- %PROGRAM_FILES%\KXWebGameBox\res\WebBoxBubbleTip.rss
- %PROGRAM_FILES%\KXWebGameBox\LoginToolIndex.html
- %PROGRAM_FILES%\KXWebGameBox\res\SendBreakLogRes.rss
- %PROGRAM_FILES%\KXWebGameBox\res\StartTool.rss
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\43.ico
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\44.ico
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\45.ico
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\42.ico
- %PROGRAM_FILES%\KXWebGameBox\res\WebGameBoxUpdateRes.rss
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\Icon.ico
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\icon\41.ico
- %PROGRAM_FILES%\KXWebGameBox\Image\Marsh.png
- %PROGRAM_FILES%\wz\Wz.exe
- %TEMP%\nsm4.tmp\WebBoxVersion.ini
- %TEMP%\nsm4.tmp\ExeConfig.ini
- %TEMP%\nss6.tmp\Base64.dll
- %PROGRAM_FILES%\fjyy\fjyy.exe
- %PROGRAM_FILES%\fjyy\unist.exe
- %PROGRAM_FILES%\wz\UnInstall.exe
- %ALLUSERSPROFILE%\Desktop\附件应用.lnk
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\附件应用.lnk
- %TEMP%\nsm4.tmp\KillProcDLL.dll
- %TEMP%\KP_1\res.rar
- %TEMP%\nsm4.tmp\processwork.dll
- %TEMP%\nss6.tmp\System.dll
- %TEMP%\KP_1\unrar.dll
- %TEMP%\nsm4.tmp\IpConfig.dll
- C:\pczh_110_156848.exe
- C:\123.exe
- %PROGRAM_FILES%\fjyy\Config.ini
- C:\fjyy_slient_zhimeng_162404.exe
- C:\KXWebBox_8000.251_RBG.exe
- C:\wuzun-zm-157299-v6.exe
- C:\kuping_b_53241.exe
- %PROGRAM_FILES%\wz\install_1402529580.tmp
- %PROGRAM_FILES%\fjyy\skin\btnBk.png
- %PROGRAM_FILES%\fjyy\skin\close.png
- %PROGRAM_FILES%\fjyy\skin\bk.png
- %TEMP%\nsw5.tmp
- %TEMP%\nsm4.tmp\System.dll
- %PROGRAM_FILES%\fjyy\install_1402529579.tmp
- %PROGRAM_FILES%\KXWebGameBox\ConfigXml\NetWork.xml
- %PROGRAM_FILES%\wz\Config.ini
- %PROGRAM_FILES%\KXWebGameBox\ConfigXml\WebGameBox.xml
- %PROGRAM_FILES%\KXWebGameBox\ConfigXml\ConfigXml.xml
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\WebBoxVersion.ini
- %PROGRAM_FILES%\KXWebGameBox\webgameconfig\LoginToolConfig.ini
- %ALLUSERSPROFILE%\Start Menu\唐门武尊.lnk
- %PROGRAM_FILES%\KXWebGameBox\Image\LoadGamePic.png
- %PROGRAM_FILES%\KXWebGameBox\Image\LoginAmim.gif
- %PROGRAM_FILES%\KXWebGameBox\Image\LoginToolLoad.png
- %PROGRAM_FILES%\KXWebGameBox\Image\LoadGameKX.png
- %PROGRAM_FILES%\KXWebGameBox\ConfigXml\XmlVersion.ini
- %PROGRAM_FILES%\KXWebGameBox\Image\Btf.png
- %PROGRAM_FILES%\KXWebGameBox\Image\LoadGame.gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tj[1]
- %TEMP%\KP_1\skinConfig\默认\ui\msgbox\btn_known.png
- %TEMP%\KP_1\skinConfig\默认\ui\msgbox\cancel.png
- %ALLUSERSPROFILE%\Start Menu\Programs\附件应用\卸载附件应用.lnk
- %TEMP%\KP_1\skinConfig\默认\ui\msgbox\bg_small.png
- %TEMP%\KP_1\skinConfig\默认\MsgBox_1.ini
- %ALLUSERSPROFILE%\Start Menu\Programs\附件应用\附件应用.lnk
- %TEMP%\nss6.tmp\NSISdl.dll
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\唐门武尊.lnk
- %TEMP%\nsm4.tmp\FindProcDLL.dll
- %ALLUSERSPROFILE%\Start Menu\Programs\唐门武尊.lnk
- %ALLUSERSPROFILE%\Desktop\唐门武尊.lnk
- %TEMP%\KP_1\skinConfig\默认\ui\msgbox\close.png
- %ALLUSERSPROFILE%\Start Menu\附件应用.lnk
- %TEMP%\KP_1\TongJICNZZ.dll
Удаляет следующие файлы:
- %PROGRAM_FILES%\wz\install_1402529580.tmp
- %PROGRAM_FILES%\fjyy\install_1402529579.tmp
Сетевая активность:
Подключается к:
- 'localhost':1042
- 'www.yu###oma.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- www.yu###oma.com/tj
UDP:
- DNS ASK cl####.jxdcw.com
- DNS ASK AP#.#10GAME.COM
- DNS ASK wz.##nnn.com
- DNS ASK www.yu###oma.com
- DNS ASK up####.aiqingzhihui.com
- DNS ASK if####.ip138.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
