Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '刷QQ空间' = '"<Полный путь к вирусу>" -autorun '
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\QQClient\URLConfiguration.xml
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\E70LABM3\h1[1].htm
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\MBMLWZ2N\f8[1].htm
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\Q2S2A1BU\clthangQ[1].2015
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\958TEPE5\h1[1].htm
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\958TEPE5\h2[1].htm
- %APPDATA%\QQClient\UpdateConfig.xml
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\958TEPE5\f2[1].htm
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\MBMLWZ2N\QQUpCfg[1]
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\Q2S2A1BU\h1[1].htm
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\E70LABM3\f8[1].htm
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\desktop.ini
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\E70LABM3\desktop.ini
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\index.dat
- %APPDATA%\QQClient\cfg.ini
- %APPDATA%\QQClient\Temporary Internet Files\desktop.ini
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\Q2S2A1BU\desktop.ini
- %APPDATA%\QQClient\qqclient.dat
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\E70LABM3\QTopLeft[1].2015
- %APPDATA%\QQClient\cookies\index.dat
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\958TEPE5\desktop.ini
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\MBMLWZ2N\desktop.ini
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\Q2S2A1BU\desktop.ini
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\958TEPE5\desktop.ini
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\MBMLWZ2N\desktop.ini
- %APPDATA%\QQClient\Temporary Internet Files\desktop.ini
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\desktop.ini
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\E70LABM3\desktop.ini
Удаляет следующие файлы:
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\MBMLWZ2N\f8[1].htm
- %APPDATA%\QQClient\UpdateConfig.xml
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\E70LABM3\h1[1].htm
- %APPDATA%\QQClient\Temporary Internet Files\desktop.ini
- %APPDATA%\QQClient\Temporary Internet Files\Content.IE5\958TEPE5\h1[1].htm
Сетевая активность:
Подключается к:
- 'ap#.##uliangbao.cn':80
- 'i.##.com':80
- 'localhost':1050
- 'ap#.#ap1000.com':8011
- 'localhost':1043
- 'ap.###liangbao.cn':80
TCP:
Запросы HTTP GET:
- i.##.com/?ta##########
- ap.###liangbao.cn/redirect/QQUpCfg
- ap.###liangbao.cn/redirect/QTopLeft?pr#####################################################################
- ap.###liangbao.cn/redirect/clthangQ?pr#####################################################################
Запросы HTTP POST:
- ap#.##uliangbao.cn/as/2/h2/
- ap#.##uliangbao.cn/ts/f2.1/
- ap#.##uliangbao.cn/as/2/h1/
- ap#.##uliangbao.cn/as/c/f8/
UDP:
- DNS ASK ap#.##uliangbao.cn
- DNS ASK i.##.com
- DNS ASK ap#.#ap1000.com
- DNS ASK ap.###liangbao.cn
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
