Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '流量宝' = '"%APPDATA%\Liuliangbao\llbapp.exe" -autorun '
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'БчБї±¦' = '"%APPDATA%\Liuliangbao\llbapp.exe" -autorun '
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\Liuliangbao\daemonapp.exe -r -dl "http://ap.##bap.com/redirect/cltcfg3" -d "%APPDATA%\Liuliangbao\" -cf "%APPDATA%\Liuliangbao\UpdateCfg.ini"
- %APPDATA%\Liuliangbao\liuliangbao.exe
- %TEMP%\is-38MIF.tmp\<Имя вируса>.tmp /SL5="$40036,697963,66048,<Полный путь к вирусу>"
Запускает на исполнение:
- <SYSTEM32>\tskill.exe daemonapp
- <SYSTEM32>\tskill.exe runtask
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Liuliangbao\UpdateCfg.ini
- %APPDATA%\Liuliangbao\cfg.ini
- %APPDATA%\Liuliangbao\unins000.dat
- %ALLUSERSPROFILE%\Start Menu\Programs\БчБї±¦\Р¶ФШ БчБї±¦.lnk
- %ALLUSERSPROFILE%\Desktop\БчБї±¦.lnk
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\f1[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\f1[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\f1[2].htm
- %APPDATA%\Liuliangbao\log.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\f2[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\f1[1].htm
- %ALLUSERSPROFILE%\Start Menu\Programs\БчБї±¦\БчБї±¦.lnk
- %TEMP%\is-58GBH.tmp\_isetup\_iscrypt.dll
- %APPDATA%\Liuliangbao\is-GAII2.tmp
- %TEMP%\is-58GBH.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-38MIF.tmp\<Имя вируса>.tmp
- %TEMP%\is-58GBH.tmp\_isetup\_RegDLL.tmp
- %APPDATA%\Liuliangbao\is-1TKSV.tmp
- %APPDATA%\Liuliangbao\is-PJVGT.tmp
- %APPDATA%\Liuliangbao\is-J07HH.tmp
- %APPDATA%\Liuliangbao\is-F8RGL.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\БчБї±¦\is-2QT6Q.tmp
- %APPDATA%\Liuliangbao\is-NTTO8.tmp
Удаляет следующие файлы:
- %TEMP%\is-58GBH.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-38MIF.tmp\<Имя вируса>.tmp
- %TEMP%\is-58GBH.tmp\_isetup\_iscrypt.dll
- %TEMP%\is-58GBH.tmp\_isetup\_RegDLL.tmp
Сетевая активность:
Подключается к:
- 'ap.##bap.com':80
- 'as#.#lbap.com':8011
- 'as#.##uliangbao.net':80
- 'ts#.##uliangbao.net':80
TCP:
Запросы HTTP GET:
- ap.##bap.com/redirect/cltcfg3
Запросы HTTP POST:
- ts#.##uliangbao.net/f1/
- ts#.##uliangbao.net/f2/
- as#.##uliangbao.net/c/f1/
UDP:
- DNS ASK ap.##bap.com
- DNS ASK as#.#lbap.com
- DNS ASK im###.taobaocdn.com
- DNS ASK ts#.##uliangbao.net
- DNS ASK as#.##uliangbao.net
- '<IP-адрес в локальной сети>':1036
- '<IP-адрес в локальной сети>':1035
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'liuliangbao' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
