Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{A187BF3E-B2A1-4443-9D7E-478AEE4A9B75}] 'Exec' = 'http://www.566n.com/taobao/#iebar'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{D336315F-B957-41A9-B8CF-7BB07C2F071E}] 'Exec' = 'http://www.7708.cn/#iebar'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{06DA687C-BB57-4343-AD8B-21B811B4E070}] 'Exec' = 'http://www.woku6.com/#iebar'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\regini.exe' %WINDIR%\temp\R70554751.tmp
- '<SYSTEM32>\regini.exe' %WINDIR%\temp\R53342401.tmp
- '<SYSTEM32>\reg.exe' DELETE "HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{C18CB140-0BBB-11D4-8FE8-0088CC102438}"
- '<SYSTEM32>\reg.exe' DELETE "HKCU\SOFTWARE\Microsoft\Internet Explorer\Extensions\{C18CB140-0BBB-11D4-8FE8-0088CC102438}"
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 2 && del "<Полный путь к файлу>"
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 2
- '<SYSTEM32>\cmd.exe' cmd /c c:\Bliss.jpg %WINDIR%\\temp\kladjkxjkdl111.vbs
- 'C:\Bliss.jpg' %WINDIR%\\temp\kladjkxjkdl111.vbs
- '<SYSTEM32>\reg.exe' DELETE "HKCU\SOFTWARE\Microsoft\Internet Explorer\Extensions\{C18CB140-0BBB-11D4-8FE8-0088CC102437}"
- '<SYSTEM32>\cmd.exe' cmd /c ECHO Y|REG.EXE DELETE "HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{C18CB140-0BBB-11D4-8FE8-0088CC102437}"
- '<SYSTEM32>\cmd.exe' cmd /c ECHO Y|REG.EXE DELETE "HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{C18CB140-0BBB-11D4-8FE8-0088CC102438}"
- '<SYSTEM32>\cmd.exe' cmd /c del "%ALLUSERSPROFILE%\桌面\*.url"
- '<SYSTEM32>\cmd.exe' cmd /c del "%HOMEPATH%\桌面\*.url"
- '<SYSTEM32>\reg.exe' DELETE "HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{C18CB140-0BBB-11D4-8FE8-0088CC102437}"
- '<SYSTEM32>\cmd.exe' cmd /c ECHO Y|REG.EXE DELETE "HKCU\SOFTWARE\Microsoft\Internet Explorer\Extensions\{C18CB140-0BBB-11D4-8FE8-0088CC102438}"
- '<SYSTEM32>\cmd.exe' cmd /c ECHO Y|REG.EXE DELETE "HKCU\SOFTWARE\Microsoft\Internet Explorer\Extensions\{C18CB140-0BBB-11D4-8FE8-0088CC102437}"
- '<SYSTEM32>\cmd.exe' /S /D /c" ECHO Y"
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\kladjkxjkdl111.vbs
- %WINDIR%\Temp\R53342401.tmp
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Жф¶Ї Internet Explorer дЇААЖч.lnk
- C:\Bliss.jpg
- %WINDIR%\Web\doyo.ico
- %WINDIR%\Web\woku6.ico
- %WINDIR%\Temp\R70554751.tmp
- %WINDIR%\Web\taobao.ico
Удаляет следующие файлы:
- %WINDIR%\Temp\kladjkxjkdl111.vbs
- C:\Bliss.jpg
- %WINDIR%\Temp\R70554751.tmp
- %WINDIR%\Temp\R53342401.tmp
