Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\wnpsvc] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\wnpsvc.exe'
- '%TEMP%\10.exe' 7855
- '%PROGRAM_FILES%\Microsoft Office\SYSTEM\sysbar.exe'
- '%TEMP%\ProxyServer.exe'
- '%TEMP%\msn055.exe'
- '%TEMP%\taskmgr.exe'
- '%TEMP%\1231.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' "%WINDIR%\Intel\baiduc.dll" /s
- '<SYSTEM32>\net1.exe' start wnpsvc
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsb9.tmp
- %TEMP%\nswA.tmp\System.dll
- %PROGRAM_FILES%\Microsoft Office\SYSTEM\11.exe
- <SYSTEM32>\wnpsvc.exe
- %TEMP%\nsj7.tmp\System.dll
- <SYSTEM32>\mprmsgse.axz
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\iq368[1]
- <SYSTEM32>\B4eocaps.SRG
- %HOMEPATH%\Local Settings\Temporary Internet Files\_inimac
- %WINDIR%\Intel\baiduc.dll
- %HOMEPATH%\Favorites\ЎпЎпЎпЎпЎпКЗЦР№ъИЛѕНЅшАґ-ФЪПЯРЎУОП·-ПтІјКІИУР¬ЧУЎпЎпЎпЎпЎп.url
- %TEMP%\1231.exe
- %TEMP%\ProxyServer.exe
- %TEMP%\taskmgr.exe
- %TEMP%\nsj2.tmp
- %TEMP%\msn055.exe
- %HOMEPATH%\Favorites\¦а¦а¦аТЅС§№Еј®Ў¶ТЅЧЪЅрјшЎ·ФЪПЯФД¶Б¦а¦а¦а.url
- %HOMEPATH%\Favorites\${PRODUCT_NAME2}.url
- %TEMP%\10.exe
- %TEMP%\nsc4.tmp\System.dll
- %HOMEPATH%\Favorites\ЁqЎоЁrїЄРДР¦»°НшЁqЎоЁr°йДгїЄРДГїТ»МмЁqЎоЁr.url
Удаляет следующие файлы:
- %TEMP%\10.exe
- %TEMP%\nsc4.tmp\System.dll
- %TEMP%\nsj7.tmp\System.dll
- %TEMP%\nswA.tmp\System.dll
Перемещает следующие файлы:
- %PROGRAM_FILES%\Microsoft Office\SYSTEM\11.exe в %PROGRAM_FILES%\Microsoft Office\SYSTEM\sysbar.exe
Сетевая активность:
Подключается к:
- 'localhost':1044
- 'www.iq##8.com':80
- 'lo###.##oyoukongjian.com':1207
- 'hi.##idu.com':80
- 're####e.51edm.net':80
TCP:
Запросы HTTP GET:
- www.iq##8.com/
- re####e.51edm.net/geturl.php?q=###############################################################################################################################################################################################################################
- hi.##idu.com/wnpsvc/blog/item/79b23a594ec80d88800a18d7.html
UDP:
- DNS ASK lo###.##oyoukongjian.com
- DNS ASK www.iq##8.com
- DNS ASK hi.##idu.com
- DNS ASK re####e.51edm.net
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
