Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- C:\1681.dat
Вредоносные функции:
Создает и запускает на исполнение:
- '%CommonProgramFiles%\Microsoft Shared\explorer.exe'
- 'C:\yto890.exe'
- '%TEMP%\87.exe'
Запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://lo#####na.bmw444.com/GoGoGo888.ashx?Ma#######################################
Изменения в файловой системе:
Создает следующие файлы:
- C:\xloaeg.bmp
- C:\fckkkr.gif
- C:\cdcgvb.txt
- C:\ipstep.jpg
- C:\MFILES\winlogon.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\GoGoGo888[1].ashx
- C:\ijbflv.doc
- C:\1681.dat
- C:\yto890.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\nbgzs[1]
- %TEMP%\dnfg2.dll
- %TEMP%\87.exe
- %CommonProgramFiles%\Microsoft Shared\explorer.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\97xg[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\dnfqd[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\down2[1].htm
Присваивает атрибут 'скрытый' для следующих файлов:
- %CommonProgramFiles%\Microsoft Shared\explorer.exe
Перемещает следующие файлы:
- C:\fckkkr.gif в %ALLUSERSPROFILE%\Desktop\Гв·СµзУ°C.url
- C:\ijbflv.doc в %HOMEPATH%\Favorites\&зН·ЧНшЦ·µјєЅ&.url
- C:\xloaeg.bmp в %ALLUSERSPROFILE%\Desktop\МФ±¦№єОпA.url
- C:\cdcgvb.txt в %ALLUSERSPROFILE%\Desktop\Intennet Exploner.lnk
- C:\ipstep.jpg в %ALLUSERSPROFILE%\Desktop\ёД±дДгµДТ»Йъ.url
Сетевая активность:
Подключается к:
- 'www.97#g.cn':80
- 'www.dn##d.com':80
- 'lo#####na.bmw444.com':80
- 'localhost':1045
- 'www.dn#.ph':80
- 'localhost':1035
- 'on###e.cnzz.com':80
- 'www.nb##s.com':80
TCP:
Запросы HTTP GET:
- www.dn##d.com/down2.htm
- www.97#g.cn/
- lo#####na.bmw444.com/GoGoGo888.ashx?Ma#######################################
- www.dn##d.com/
- www.dn#.ph/up.txt
- on###e.cnzz.com/online/online.php?id################################
- www.nb##s.com/
UDP:
- DNS ASK www.dn##d.com
- DNS ASK www.97#g.cn
- DNS ASK lo#####na.bmw444.com
- DNS ASK www.dn#.ph
- DNS ASK www.nb##s.com
- DNS ASK on###e.cnzz.com
Другое:
Ищет следующие окна:
- ClassName: 'ReBarWindow32' WindowName: '(null)'
- ClassName: 'WorkerW' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Address Band Root' WindowName: '(null)'
- ClassName: 'ComboBox' WindowName: '(null)'
- ClassName: 'ComboBoxEx32' WindowName: '(null)'
- ClassName: 'Edit' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: '360se_Frame' WindowName: '(null)'
- ClassName: 'Maxthon2_Frame' WindowName: '(null)'
- ClassName: '_____TTFrameWnd__101__' WindowName: '(null)'
