Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A09E3C3C-028C-4F87-B715-16DA5024CF0D}] 'Exec' = 'http://www.letao.com/?source=linktech&subid=A100086035liangzhou/'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A06E3C3C-028C-4F87-B715-16DA5024CF0D}] 'Exec' = 'http://click.linktech.cn/?m=dangdang&a=A100086035&l=99999&l_cd1=0&l_cd2=1&u_id=liangzhou&tu=http%3A%2F%2Fhome.dangdang.com/'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A10E3C3C-028C-4F87-B715-16DA5024CF0D}] 'Exec' = 'http://click.linktech.cn/?m=paixie&a=A100086035&l=00049&l_cd1=0&l_cd2=0&u_id=liangzhou/'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A12E3C3C-028C-4F87-B715-16DA5024CF1D}] 'Exec' = 'http://liangzhou.emaiba.net/web/redirect.aspx?type=shop&id=296'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A11E3C3C-028C-4F87-B715-16DA5024CF0D}] 'Exec' = 'http://liangzhou.emaiba.net/web/redirect.aspx?type=shop&id=98'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A05E3C3C-028C-4F87-B715-16DA5024CF0D}] 'Exec' = 'http://www.amazon.cn/?source=lkt_A100086035liangzhou%7C22156418760090%5E20120216171504-90524%7C99999%7C01%7C/'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A08E3C3C-028C-4F87-B715-16DA5024CF0D}] 'Exec' = 'http://sogou123.meimofang.com/main82370_1.html'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A01E3C3C-028C-4F87-B715-16DA5024CF0D}] 'Exec' = 'http://liangzhou.emaiba.net/'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A02E3C3C-028C-4F87-B715-16DA5024CF0D}] 'Exec' = 'http://liangzhou.emaiba.net/web/taobao_ser.aspx'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A04E3C3C-028C-4F87-B715-16DA5024CF0D}] 'Exec' = 'http://www.360buy.com/?utm_source=p.yiqifa.com&utm_medium=tuiguang&utm_campaign=t_1_148395/'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A03E3C3C-028C-4F87-B715-16DA5024CF0D}] 'Exec' = 'http://www.yihaodian.com/product/index.do?merchant=1&tracker_u=4734&tracker_type=1/'
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\regedit.exe' /s IE3.reg
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\ico\ico\pxw.ico
- %WINDIR%\ico\ico\mbs.ico
- %WINDIR%\ico\ico\lt.ico
- %WINDIR%\ico\IE3.reg
- %WINDIR%\ico\ico\ymx.ico
- %WINDIR%\ico\ico\tbw.ico
- %WINDIR%\ico\ico\hao123.ico
- %WINDIR%\ico\ico\baidu.ico
- %WINDIR%\ico\ico\360jd.ico
- %WINDIR%\ico\ico\1hd.ico
- %WINDIR%\ico\ico\fkcp.ico
- %WINDIR%\ico\ico\emb.ico
- %WINDIR%\ico\ico\ddw.ico
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
