Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\ccru\Shell\Open\Command] '' = '"Rundll32.exe" "%WINDIR%\CSIDLCOMMONS\verIDtxt.ver" bcanrun'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\CSIDLCOMMONS\KAV_97_10.exe'
- '%TEMP%\is-6IL84.tmp\<Имя вируса>.tmp' /SL5="$40036,1089504,51712,<Полный путь к вирусу>"
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' "%WINDIR%\CSIDLCOMMONS\chspth.uccak" u32k
- '%WINDIR%\explorer.exe' %ALLUSERSPROFILE%\Start Menu\Programs\Startup
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\si44[1]
- %ALLUSERSPROFILE%\Application Data\kingsoft\kis\hg.dat
- %ALLUSERSPROFILE%\Application Data\kingsoft\kis\log\uplive\klivesetup.log
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\wpad[1].dat
- %WINDIR%\CSIDLCOMMONS\ttf.exe
- %WINDIR%\CSIDLCOMMONS\taobao.ico
- %WINDIR%\crucc.lnk
- %WINDIR%\CSIDLCOMMONS\ync.exe
- %ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact2064063879.inf
- %ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installer_antivirus2374683879.inf
- %ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installdone2374213879.inf
- %ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installdown2374843879.inf
- %ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact2374843879.inf
- %ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installer2072503879.inf
- %ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact2064843879.inf
- %ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installerc2373433879.inf
- %ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact2371253879.inf
- %PROGRAM_FILES%\softguid\is-HN7DC.tmp
- %PROGRAM_FILES%\softguid\is-H78M6.tmp
- %PROGRAM_FILES%\softguid\unins000.dat
- %PROGRAM_FILES%\softguid\is-6153H.tmp
- %TEMP%\is-1M67D.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-6IL84.tmp\<Имя вируса>.tmp
- %TEMP%\is-1M67D.tmp\InstallDll.dll
- %TEMP%\is-1M67D.tmp\_isetup\_shfoldr.dll
- %WINDIR%\CSIDLCOMMONS\Install.tmp
- %WINDIR%\CSIDLCOMMONS\ppc.exe
- %WINDIR%\CSIDLCOMMONS\KAV_97_10.exe
- %WINDIR%\CSIDLCOMMONS\serverID.txt
- %WINDIR%\CSIDLCOMMONS\rd.txt
- %WINDIR%\CSIDLCOMMONS\Config.ini
- %WINDIR%\CSIDLCOMMONS\chspth.uccak
- %WINDIR%\CSIDLCOMMONS\infofile.tmp
- %WINDIR%\CSIDLCOMMONS\crucc.ccru
Удаляет следующие файлы:
- %TEMP%\is-1M67D.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-6IL84.tmp\<Имя вируса>.tmp
- %TEMP%\is-1M67D.tmp\InstallDll.dll
- %TEMP%\is-1M67D.tmp\_isetup\_RegDLL.tmp
Перемещает следующие файлы:
- %PROGRAM_FILES%\softguid\is-6153H.tmp в %PROGRAM_FILES%\softguid\Install.tmp
- %PROGRAM_FILES%\softguid\is-HN7DC.tmp в %PROGRAM_FILES%\softguid\InstallDll.dll
- %PROGRAM_FILES%\softguid\is-H78M6.tmp в %PROGRAM_FILES%\softguid\unins000.exe
Сетевая активность:
Подключается к:
- 'www.si##.com':80
- 'wp#d':80
- 'localhost':1036
- 'www.yi###anju.com':8080
TCP:
Запросы HTTP GET:
- wp#d/wpad.dat
- www.si##.com/
UDP:
- DNS ASK in##.duba.net
- DNS ASK cd###.www.duba.net
- DNS ASK cs#######-2-crl.verisign.com
- DNS ASK crl.verisign.com
- DNS ASK www.yi###anju.com
- DNS ASK www.si##.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '(null)' WindowName: '????'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: '(null)' WindowName: '%ALLUSERSPROFILE%\Start Menu\Programs\Startup'
