Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RichMedia' = '<SYSTEM32>\Rundll32.exe "%PROGRAM_FILES%\HBClient\hbhelper.dll",WaitWindows'
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\RarSFX0\50040038.exe
- %TEMP%\RarSFX1\SetupHAP.exe 190299
- %TEMP%\RarSFX0\190299.exe
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe "%PROGRAM_FILES%\HBClient\hbhelper.dll",WaitWindows
- <SYSTEM32>\regsvr32.exe /s "%PROGRAM_FILES%\HBClient\hbhelper.dll"
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\distributer.txt
- <SYSTEM32>\hber.ini
- %WINDIR%\hb24065.log
- <SYSTEM32>\hbhsy.ini
- %WINDIR%\helper.ini
- %PROGRAM_FILES%\HBClient\hbhelper.dll
- %TEMP%\RarSFX0\190299.exe
- %TEMP%\RarSFX0\50040038.exe
- %TEMP%\RarSFX0\Admin.exe
- %TEMP%\RarSFX1\HBHelper.dll
- %TEMP%\RarSFX1\SetupHAP.exe
Удаляет следующие файлы:
- %TEMP%\RarSFX1\SetupHAP.exe
- %TEMP%\RarSFX1\HBHelper.dll
- <SYSTEM32>\hber.ini
Сетевая активность:
Подключается к:
- 'cl#####og.zcominc.com':80
UDP:
- DNS ASK CL#####OG.ZCOMINC.COM
Другое:
Ищет следующие окна:
- ClassName: 'henbangframe' WindowName: 'henbang search assistant'
- ClassName: 'RunDLL' WindowName: 'HAPAdvertising'
- ClassName: 'henbangupdate' WindowName: 'henbang update assistant'
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'WaitRich' WindowName: ''
