Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\hzsoft\pptv8_13861.exe' /sp- /verysilent
- '<Текущая директория>\hzsoft\kavsetup35_13861.exe' /sp- /verysilent
- '<Текущая директория>\hzsoft\down_s_74_110.exe'
- '<Текущая директория>\hzsoft\ydcidian28_13861.exe' /sp- /verysilent
- '<Текущая директория>\hzsoft\kuping_s_23525.exe'
- '<Текущая директория>\vnetspa.exe'
- '<Текущая директория>\hzsoft\UUSEE_kbhm_Setup_14.exe'
- '<Текущая директория>\hzsoft\kwmusic16_13861.exe' /sp- /verysilent
- '<Текущая директория>\hzsoft\ydcidian28_13861.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\kavsetup35_13861.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\kwmusic16_13861.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\UUSEE_kbhm_Setup_14.exe' (загружен из сети Интернет)
- '<Текущая директория>\vnetspa.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\kuping_s_23525.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\down_s_74_110.exe' (загружен из сети Интернет)
- '<Текущая директория>\hzsoft\pptv8_13861.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\owteyh.bat
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\hzsoft\kavsetup35_13861.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ydcidian28_13861[1].exe
- <Текущая директория>\hzsoft\down_s_74_110.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\kavsetup35_13861[1].exe
- <Текущая директория>\hzsoft\kwmusic16_13861.exe
- <Текущая директория>\owteyh.bat
- <Текущая директория>\hzsoft\ydcidian28_13861.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\kwmusic16_13861[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\down_s_74_110[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\UUSEE_kbhm_Setup_14[1].exe
- <Текущая директория>\hzsoft\UUSEE_kbhm_Setup_14.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\vnetspa[1].exe
- <Текущая директория>\vnetspa.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\pptv8_13861[1].exe
- <Текущая директория>\hzsoft\pptv8_13861.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\kuping_s_23525[1].exe
- <Текущая директория>\hzsoft\kuping_s_23525.exe
Удаляет следующие файлы:
- <Текущая директория>\vnetspa.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'do####ad.wallba.com':80
- 'my.##da123.com':80
- 'd.#####.ijinshan.com':80
- 'localhost':1037
- '21#.#01.12.251':80
- 'do####ad.uusee.com':80
TCP:
Запросы HTTP GET:
- my.##da123.com/down35/kavsetup35_13861.exe
- d.#####.ijinshan.com/liebao/link/down_s_74_110.exe
- my.##da123.com/down13/kwmusic16_13861.exe
- my.##da123.com/down28/ydcidian28_13861.exe
- do####ad.uusee.com/pop1/kbhm/UUSEE_kbhm_Setup_14.exe
- 21#.#01.12.251/dls/vnetspa.exe
- my.##da123.com/down4/pptv8_13861.exe
- do####ad.wallba.com/download.php/kuping_s_23525.exe
UDP:
- DNS ASK my.##da123.com
- DNS ASK d.#####.ijinshan.com
- DNS ASK do####ad.uusee.com
- DNS ASK do####ad.wallba.com
