Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\data\Bugreport.dll' %42%75%67%72%65%70%6F%72%74 %E5%9C%88%E4%BA%BA%E7%A7%92%20
- '<Текущая директория>\data\UpDate.exe' 3.4.1 %43%3A%5C%62%66%33%32%64%33%62%30%5C%62%36%36%32%65%66%34%39%2E%65%78%65 јЩ http://bu#####t.dbankcloud.com/QQ%E5%8A%A8%E6%80%81%E6%89%B9%E9%87%8F%E8%B5%9E/%E5%9C%88%E4%BA%BA%E7%A7%92%E8%B5%9E.txt
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Скрывает следующие процессы:
- <Полный путь к вирусу>
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\data\Bugreport_error.ini
- <Текущая директория>\data\Gutou.ini
- <Текущая директория>\data\Bugreport.dll
- <Текущая директория>\data\UpDate.exe
- <Текущая директория>\data\Bugreport.ini
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'www.gu##u.cc':80
- 'vi#.#utou.cc':80
- 'bu#####t.dbankcloud.com':80
- 'localhost':1039
TCP:
Запросы HTTP GET:
- vi#.#utou.cc/kss_api/api.php?a=#######################################################
- www.gu##u.cc/up/tongji.htm
- bu#####t.dbankcloud.com/QQ%E5%8A%A8%E6%80%81%E6%89%B9%E9%87%8F%E8%B5%9E/%E5%9C%88%E4%BA%BA%E7%A7%92%E8%B5%9E.txt
UDP:
- DNS ASK vi#.#utou.cc
- DNS ASK www.gu##u.cc
- DNS ASK bu#####t.dbankcloud.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
