Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'apphide' = '%ProgramFiles%\badu\qq.exe'
Вредоносные функции:
Запускает на исполнение:
- '%ProgramFiles%\badu\qq.exe'
- '%ProgramFiles%\badu\Bind.exe' -u=http://www.li###ouq.com/qqguanjia.txt -n=qq.exe
- '%TEMP%\setup.exe' /VERYSILENT /SP-
- '%TEMP%\is-09AA0.tmp\setup.tmp' /SL5="$30092,341872,204800,%TEMP%\setup.exe" /VERYSILENT /SP-
Ищет следующие окна с целью
обнаружения различных программ и игр:
- ClassName: 'TXGuiFoundation' WindowName: '????:????'
- ClassName: 'TXGuiFoundation' WindowName: '电脑管家'
- ClassName: 'TXGuiFoundation' WindowName: '电脑管家 - 病毒查杀'
- ClassName: 'TXGuiFoundation' WindowName: '电脑管家：开机时间'
- ClassName: 'TXGuiFoundation' WindowName: '????'
- ClassName: 'TXGuiFoundation' WindowName: '小火箭通用加速'
- ClassName: 'TXGuiFoundation' WindowName: '???????'
- ClassName: 'TXGuiFoundation' WindowName: '电脑管家 - 软件管理'
- ClassName: 'TXGuiFoundation' WindowName: '???? - ????'
Изменения в файловой системе:
Создает следующие файлы:
- %ProgramFiles%\badu\is-7EKJ5.tmp
- %ProgramFiles%\badu\is-QM65J.tmp
- %ProgramFiles%\badu\badu.ini
- %ProgramFiles%\badu\unins000.dat
- %TEMP%\is-09AA0.tmp\setup.tmp
- %TEMP%\setup.exe
- %ProgramFiles%\badu\is-G5RDB.tmp
- %TEMP%\is-N5ED4.tmp\_isetup\_shfoldr.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %ProgramFiles%\badu\Bind.exe
- %ProgramFiles%\badu\qq.exe
Удаляет следующие файлы:
- %TEMP%\is-09AA0.tmp\setup.tmp
- %TEMP%\is-N5ED4.tmp\_isetup\_shfoldr.dll
Перемещает следующие файлы:
- %ProgramFiles%\badu\is-7EKJ5.tmp в %ProgramFiles%\badu\Bind.exe
- %ProgramFiles%\badu\is-QM65J.tmp в %ProgramFiles%\badu\qq.exe
- %ProgramFiles%\badu\is-G5RDB.tmp в %ProgramFiles%\badu\unins000.exe
Сетевая активность:
Подключается к:
- 'www.li###ouq.com':80
TCP:
Запросы HTTP GET:
- http://www.li###ouq.com/qqguanjia.txt
UDP:
- DNS ASK www.li###ouq.com
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: 'фЬКВ¶ОЧУїН»§¶Л'
- ClassName: '#32770' WindowName: '??????????????'
- ClassName: 'FrmPlayer' WindowName: '妖妖直播'
- ClassName: 'FrmPlayer' WindowName: '????'
- ClassName: '#32770' WindowName: '9158¶аИЛКУЖµ'
- ClassName: '#32770' WindowName: '9158????????'
- ClassName: 'DISK_WEATHER_MAIN_WINDOW' WindowName: ''
- ClassName: '#32770' WindowName: ''
- ClassName: 'bf.desktop.bootpage.BootPage2' WindowName: ''
- ClassName: 'LaunchbarWnd_ClassName' WindowName: 'LaunchBarWndTitle'
- ClassName: 'static' WindowName: 'Б¬ЅУ·юОсЖчК§°Ь'
- ClassName: 'static' WindowName: '??????????????'
- ClassName: 'ReminderForm' WindowName: '提示窗口'
- ClassName: 'ReminderForm' WindowName: '????'
- ClassName: '' WindowName: '秀秀直播室'
- ClassName: '' WindowName: '?????'
- ClassName: '9158VideoChat' WindowName: ''
- ClassName: 'Chrome_WidgetWin_1' WindowName: '???????? - UC???'
- ClassName: 'Chrome_WidgetWin_1' WindowName: 'UC单单返 - UC浏览器'
- ClassName: 'Chrome_WidgetWin_1' WindowName: 'hao123_??????? - UC???'
- ClassName: 'Chrome_WidgetWin_1' WindowName: '请选择新标签风格 - UC浏览器'
- ClassName: 'QQBrowser_WidgetWin_0' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Chrome_WidgetWin_1' WindowName: 'UC??? - UC???'
- ClassName: 'QQBrowser_WidgetWin_1' WindowName: ''
- ClassName: 'NotifyIconOverflowWindow' WindowName: ''
- ClassName: 'SysPager' WindowName: ''
- ClassName: 'RC_CORAL_CLASS_RENDER' WindowName: ''
- ClassName: 'RC_CORAL_CLASS_FRAME2' WindowName: ''
- ClassName: 'ReBarWindow32' WindowName: ''
- ClassName: 'Chrome_WidgetWin_1' WindowName: 'hao123_上网从这里开始 - UC浏览器'
- ClassName: 'ToolbarWindow32' WindowName: ''
- ClassName: 'TrayNotifyWnd' WindowName: ''
