Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '360WallPaper' = '%PROGRAM_FILES%\Windows NT\Microsoft\360wpsrv.exe'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\servicin\suv12.ini
- %PROGRAM_FILES%\Windows NT\Microsoft\crt.dll
- <SYSTEM32>\blognew.ini
- %PROGRAM_FILES%\Windows NT\Microsoft\TEMP.TMP
- %PROGRAM_FILES%\Windows NT\TEMP.TMP
- %WINDIR%\servicin\tugu.txt
- %WINDIR%\servicin\zihu.txt
- %PROGRAM_FILES%\AppPatch\NetSyst81.dll
- %WINDIR%\servicin\muaa.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\servicin\suv12.ini
- %PROGRAM_FILES%\Windows NT\Microsoft\crt.dll
Удаляет следующие файлы:
- %PROGRAM_FILES%\Windows NT\Microsoft\TEMP.TMP
- %PROGRAM_FILES%\Windows NT\TEMP.TMP
Сетевая активность:
Подключается к:
- 'us##.#zone.qq.com':80
- 'b1#.##one.qq.com':80
- '36##.f3322.org':5880
TCP:
Запросы HTTP GET:
- http://us##.#zone.qq.com/395659444
- http://b1#.##one.qq.com/cgi-bin/blognew/blog_output_data?ui#############################
UDP:
- DNS ASK b1#.##one.qq.com
- DNS ASK us##.#zone.qq.com
- DNS ASK www.ba##u.com
- DNS ASK 36##.f3322.org
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
