Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Entshu Service12220144161757375] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nsi6.tmp\ns8.tmp' sc description "Entshu Service12220144161757375" "Entshu Service32220144161757375"
- '%PROGRAM_FILES%\ainqngz4.4\Ainqngz4.4.exe'
- '%PROGRAM_FILES%\ainqngz4.4\warmth.exe' /s/s
- '%PROGRAM_FILES%\OnlineInstal\pczh_107_306.exe'
- '%PROGRAM_FILES%\OnlineInstal\yunboplayer.exe'
- '%TEMP%\nsi6.tmp\ns7.tmp' sc create "Entshu Service12220144161757375" displayname= "22220144161757375" binPath= "%PROGRAM_FILES%\ainqngz4.4\Enthu.exe" start= auto
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' description "Entshu Service12220144161757375" "Entshu Service32220144161757375"
- '<SYSTEM32>\sc.exe' create "Entshu Service12220144161757375" displayname= "22220144161757375" binPath= "%PROGRAM_FILES%\ainqngz4.4\Enthu.exe" start= auto
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\ainqngz4.4\warmth.exe
- %PROGRAM_FILES%\ainqngz4.4\uninstall.exe
- %HOMEPATH%\Start Menu\Programs\°®Зй.ЦЗ»Ы.4.4\Р¶ФШ.lnk
- %PROGRAM_FILES%\ainqngz4.4\Enthu.exe
- %HOMEPATH%\Templates\2220144161757375\YYM_955WD30.gif
- %TEMP%\nsi6.tmp\NSISdl.dll
- %PROGRAM_FILES%\ainqngz4.4\Ainqngz4.4.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tongji0606[1].php
- %HOMEPATH%\Start Menu\Programs\°®Зй.ЦЗ»Ы.4.4\°®Зй.ЦЗ»Ы.4.4.lnk
- %TEMP%\nsi6.tmp\md5dll.dll
- %TEMP%\nsi6.tmp\Math.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\zhibo2[1].html
- %TEMP%\nsi6.tmp\Inetc.dll
- %TEMP%\nsi6.tmp\ns7.tmp
- %TEMP%\nsi6.tmp\nsExec.dll
- %HOMEPATH%\Desktop\°®Зй.ЦЗ»Ы.4.4.lnk
- %TEMP%\nsi6.tmp\ns8.tmp
- %PROGRAM_FILES%\OnlineInstal\360.ico
- %PROGRAM_FILES%\OnlineInstal\2345µјєЅ.url
- %PROGRAM_FILES%\OnlineInstal\pczh_107_306.exe
- %PROGRAM_FILES%\OnlineInstal\ie.ico
- %TEMP%\nsl3.tmp\System.dll
- %TEMP%\nsf2.tmp
- %TEMP%\nsl3.tmp\okok
- %TEMP%\nsl3.tmp\NSISdl.dll
- %PROGRAM_FILES%\OnlineInstal\tj.txt
- %TEMP%\nsc5.tmp
- %HOMEPATH%\Desktop\360°ІИ«дЇААЖч7.lnk
- %TEMP%\nsi6.tmp\System.dll
- %TEMP%\nsi6.tmp\Base64.dll
- %PROGRAM_FILES%\OnlineInstal\ЛС№·µјєЅ.url
- %PROGRAM_FILES%\OnlineInstal\yunboplayer.exe
- %HOMEPATH%\Desktop\Interet Explrer.lnk
- %PROGRAM_FILES%\OnlineInstal\uboskin\config.ini
Удаляет следующие файлы:
- %TEMP%\nsi6.tmp\ns7.tmp
- %TEMP%\nsi6.tmp\ns8.tmp
- %TEMP%\nsl3.tmp\System.dll
- %TEMP%\nsl3.tmp\NSISdl.dll
- %TEMP%\nsl3.tmp\okok
Сетевая активность:
Подключается к:
- 'localhost':1044
- 'localhost':1043
- 'tv.###ingzhihui.com':80
- 'to####.aiqingzhihui.com':80
- 'localhost':1039
- 'pp#.#dsbw.cn':80
- 'tj.##ccms.net':80
- 'up####.aiqingzhihui.com':80
TCP:
Запросы HTTP GET:
- to####.aiqingzhihui.com/tjapi.php?ma######################################################################################################################################################################
- tv.###ingzhihui.com/zhibo2.html?id##################################
- tj.##ccms.net/tongji0606.php?fl######################################################################################################################
- pp#.#dsbw.cn/app.txt
- up####.aiqingzhihui.com/0403/help1.html
UDP:
- DNS ASK to####.aiqingzhihui.com
- DNS ASK tv.###ingzhihui.com
- DNS ASK tj.##ccms.net
- DNS ASK pp#.#dsbw.cn
- DNS ASK up####.aiqingzhihui.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
