Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\Open\Command] '' = '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.sogou.com/index.htm?pid=sogou-netb-70e1e0f2b23a8056-0742'
- [<HKLM>\SOFTWARE\Classes\CLSID\{98745625-1234-1234-1234-1234567890AB}\Shell\Open\Command] '' = '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://www.sogou.com/index.htm?pid=sogou-netb-70e1e0f2b23a8056-0742'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'IAD' = '<SYSTEM32>\wbem\iADConfig.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\hqmr.dll' /Noverbose /subkeyreg "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main" /perm /grant=everyone=r
- '<SYSTEM32>\hqmr.dll' /Noverbose /subkeyreg "HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\Shell\Open\Command" /perm /grant=everyone=f
- '<SYSTEM32>\hqmr.dll' /Noverbose /subkeyreg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main" /perm /grant=everyone=r
- '<SYSTEM32>\hqmr.dll' /Noverbose /subkeyreg "HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\Shell\Open\Command" /perm /grant=everyone=r
- '<SYSTEM32>\hqmr.dll' /Noverbose /subkeyreg "HKEY_CLASSES_ROOT\CLSID\{98745625-1234-1234-1234-1234567890AB}\Shell\Open\Command" /perm /grant=everyone=r
- 'C:\Svchost.exe'
- '<SYSTEM32>\wbem\iADConfig.exe'
- '<SYSTEM32>\hqmr.dll' /Noverbose /subkeyreg "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main" /perm /grant=everyone=f
- '<SYSTEM32>\hqmr.dll' /Noverbose /subkeyreg "HKEY_CLASSES_ROOT\CLSID\{98745625-1234-1234-1234-1234567890AB}\Shell\Open\Command" /perm /grant=everyone=f
- '<SYSTEM32>\hqmr.dll' /Noverbose /subkeyreg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main" /perm /grant=everyone=f
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\urlmatch.xml
- %WINDIR%\iADGameUrl.xml
- %WINDIR%\iAD.ini
- <SYSTEM32>\ShowMSGex.exe
- %WINDIR%\iAdGameUrlEx.xml
- C:\Res\filelist.dat
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk
- C:\ExComp.dll
- %WINDIR%\keys.xml
- %TEMP%\aut2.tmp
- <SYSTEM32>\hqmr.dll
- %TEMP%\aut1.tmp
- <SYSTEM32>\wbem\iADConfig.exe
- C:\Svchost.exe
- C:\KPath.dll
- %WINDIR%\iADGame.log
- C:\iADConfig.ini
- C:\GKPath.dll
Удаляет следующие файлы:
- %WINDIR%\iAdGameUrlEx.xml
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
Сетевая активность:
Подключается к:
- 'gd###.jiajiaee.cn':80
- 'do####l.jiajiaee.cn':80
- 'wd###.jiajiaee.cn':80
TCP:
Запросы HTTP GET:
- wd###.jiajiaee.cn/keys/list/keys.xml
- gd###.jiajiaee.cn/txtupdate/filelist.dat
- wd###.jiajiaee.cn/keys/list/urlmatch.xml
- do####l.jiajiaee.cn/iepop/list/NewGameUrl.xml
UDP:
- DNS ASK gd###.jiajiaee.cn
- DNS ASK do####l.jiajiaee.cn
- DNS ASK wd###.jiajiaee.cn
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
