Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'PPS Accelerator' = '<SYSTEM32>\ppsap.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Создает и запускает на исполнение:
- '<SYSTEM32>\ppsap.exe'
Запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://sh#####77515.taobao.com/
Изменения в файловой системе:
Создает следующие файлы:
- <Служебный элемент>
- %WINDIR%.exe
- <SYSTEM32>\ppsap.exe
- C:\<Служебное имя>.exe
- <Текущая директория>.exe
- C:\Far2.exe
Удаляет следующие файлы:
- %TEMP%\~DFC9EB.tmp
- %TEMP%\~DFD6B4.tmp
- %TEMP%\~DFB022.tmp
- %TEMP%\~DFBD0D.tmp
- %TEMP%\~DFE3B4.tmp
- %TEMP%\~DFA5B.tmp
- %TEMP%\~DF174A.tmp
- %TEMP%\~DFF07E.tmp
- %TEMP%\~DFFD87.tmp
- %TEMP%\~DF5605.tmp
- %TEMP%\~DF62D7.tmp
- %TEMP%\~DF3C39.tmp
- %TEMP%\~DF4914.tmp
- %TEMP%\~DF6FAE.tmp
- %TEMP%\~DF963C.tmp
- %TEMP%\~DFA351.tmp
- %TEMP%\~DF7C9A.tmp
- %TEMP%\~DF8975.tmp
- %TEMP%\~DFB207.tmp
- %TEMP%\~DFBEF3.tmp
- %TEMP%\~DF9802.tmp
- %TEMP%\~DFA512.tmp
- %TEMP%\~DFCBC4.tmp
- %TEMP%\~DFF3A0.tmp
- %TEMP%\~DFA2.tmp
- %TEMP%\~DFD9E2.tmp
- %TEMP%\~DFE6D2.tmp
- %TEMP%\~DF3DE1.tmp
- %TEMP%\~DF4AB5.tmp
- %TEMP%\~DF2428.tmp
- %TEMP%\~DF30F3.tmp
- %TEMP%\~DF57BC.tmp
- %TEMP%\~DF7E5A.tmp
- %TEMP%\~DF8B32.tmp
- %TEMP%\~DF648F.tmp
- %TEMP%\~DF7169.tmp
- %TEMP%\~DF2F37.tmp
- %TEMP%\~DFED34.tmp
- %TEMP%\~DFFA1E.tmp
- %TEMP%\~DFD367.tmp
- %TEMP%\~DFE04E.tmp
- %TEMP%\~DF6FF.tmp
- %TEMP%\~DF2D9C.tmp
- %TEMP%\~DF3A8E.tmp
- %TEMP%\~DF13CE.tmp
- %TEMP%\~DF20C1.tmp
- %TEMP%\~DF5CD4.tmp
- %TEMP%\~DF81B0.tmp
- %TEMP%\~DF4233.tmp
- %TEMP%\~DF1B37.tmp
- %TEMP%\~DF90E9.tmp
- %TEMP%\~DFB99C.tmp
- %TEMP%\~DFC686.tmp
- %TEMP%\~DF9EBC.tmp
- %TEMP%\~DFAB9B.tmp
- %TEMP%\~DFD519.tmp
- %TEMP%\~DFE1F5.tmp
- %TEMP%\~DFBB60.tmp
- %TEMP%\~DFC82F.tmp
- %TEMP%\~DFEEFA.tmp
- %TEMP%\~DF159A.tmp
- %TEMP%\~DF2265.tmp
- %TEMP%\~DFFBCF.tmp
- %TEMP%\~DF89E.tmp
- %TEMP%\~DF613B.tmp
- %TEMP%\~DF6E0C.tmp
- %TEMP%\~DF4773.tmp
- %TEMP%\~DF545E.tmp
- %TEMP%\~DF7AFE.tmp
- %TEMP%\~DFA19A.tmp
- %TEMP%\~DFAE80.tmp
- %TEMP%\~DF87D6.tmp
- %TEMP%\~DF94C0.tmp
Сетевая активность:
Подключается к:
- 'sh#####77515.taobao.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- sh#####77515.taobao.com/
UDP:
- DNS ASK sh#####77515.taobao.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
