Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREA.exe
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREC.exe
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREB.exe
- %PROGRAM_FILES%\Internet Explorer\IEXPLORED.exe
- %PROGRAM_FILES%\Internet Explorer\ad7731.exe
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREP.exe
- %PROGRAM_FILES%\Internet Explorer\dodolook507.exe
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREC123.exe
- %PROGRAM_FILES%\Internet Explorer\IEXPLORED.exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREC.exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREC123.exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Internet Explorer\dodolook507.exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREP.exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Internet Explorer\ad7731.exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREB.exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREA.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\net1.exe stop sharedaccess
- <SYSTEM32>\net1.exe stop KAVStart
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://ho###i.8866.org/zhen2/user.asp?us#####################################################################
- <SYSTEM32>\net.exe stop KAVStart
- <SYSTEM32>\ntsd.exe -c q -pn 360Safe.exe
- <SYSTEM32>\net.exe stop sharedaccess
- <SYSTEM32>\ntsd.exe -c q -pn 360tray.exe
Внедряет код в
следующие пользовательские процессы:
- 360tray.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ma3[1].jpg
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREC.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ma2[1].jpg
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREB.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ma4[1].jpg
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREC123.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\user[1].asp
- %PROGRAM_FILES%\Internet Explorer\IEXPLORED.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\shangliangkongzhi[1].jpg
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREA.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\pp[1].jpg
- %PROGRAM_FILES%\Internet Explorer\IEXPLOREP.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hou2[1].jpg
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\uu[1].jpg
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\dodolook507[1].jpg
- %PROGRAM_FILES%\Internet Explorer\ad7731.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ma1[1].jpg
- %PROGRAM_FILES%\Internet Explorer\dodolook507.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ad7731[1].jpg
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\user[1].asp
Сетевая активность:
Подключается к:
- 'localhost':1039
- 'ho###i.8866.org':80
- 'localhost':1035
- 'www.gx##s.cn':80
TCP:
Запросы HTTP GET:
- www.gx##s.cn/ad/ma3.jpg
- www.gx##s.cn/ad/ma2.jpg
- www.gx##s.cn/ad/ma4.jpg
- ho###i.8866.org/zhen2/user.asp?us#####################################################################
- www.gx##s.cn/houtai/7hao/shangliangkongzhi.jpg
- www.gx##s.cn/ad/ma1.jpg
- www.gx##s.cn/ad/uu.jpg
- www.gx##s.cn/ad/hou2.jpg
- www.gx##s.cn/ad/pp.jpg
- www.gx##s.cn/ad/ad7731.jpg
- www.gx##s.cn/ad/dodolook507.jpg
UDP:
- DNS ASK ho###i.8866.org
- DNS ASK www.gx##s.cn
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
