Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\DDGuo\Shell\Open\Command] '' = '"%PROGRAM_FILES%\dodoguo5010\dodoguo5010.exe" "%1"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'DDGuo' = '"%PROGRAM_FILES%\dodoguo5010\dodoguo5010.exe" /A'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\DDGuoExService] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\dodoguo5010\DDGUOServer.exe' /install /silent
- '%PROGRAM_FILES%\dodoguo5010\dodoguo5010.exe' /SetAutoRun true
- '%TEMP%\PPTV(pplive)_forheima_0045.exe'
- '%TEMP%\kingsoftkonline\KAVD_22_2720.exe' /s
- '%PROGRAM_FILES%\dodoguo5010\DDGUOServer.exe'
- 'C:\PPTV(pplive)_forheima_0045.exe'
- 'C:\KAVD_22_2720.exe'
- 'C:\m.okbai_setup10038.exe'
- '%PROGRAM_FILES%\dodoguo5010\dodoguo5010.exe' /a
- 'C:\ddg_5010.exe'
- '%TEMP%\kingsoftkonline\KAVD_22_2720.exe' (загружен из сети Интернет)
- '%TEMP%\PPTV(pplive)_forheima_0045.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /F /im Update.exe
- '<SYSTEM32>\taskkill.exe' /F /im dodoguo5010.exe
- '<SYSTEM32>\taskkill.exe' /F /im DDGuoServer.exe
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\¶№¶№№ы\¶№¶№№ы.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\¶№¶№№ы\Р¶ФШ¶№¶№№ы.lnk
- %PROGRAM_FILES%\dodoguo5010\fsx.dat
- %PROGRAM_FILES%\dodoguo5010\Update.exe
- %PROGRAM_FILES%\dodoguo5010\WebPlayer.ocx
- %PROGRAM_FILES%\dodoguo5010\uninst.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\PPTV(pplive)_forheima_0045[1].exe
- %ALLUSERSPROFILE%\Application Data\DDGuo\popset.ini
- %HOMEPATH%\AppData\LocalLow\DDGuo\Fav.dat
- %TEMP%\kingsoftkonline\KAVD_22_2720.exe.tmp
- %ALLUSERSPROFILE%\Application Data\DDGuo\runa.ini
- %TEMP%\PPTV(pplive)_forheima_0045.exe
- %HOMEPATH%\AppData\LocalLow\DDGuo\Setup.ini
- C:\PPTV(pplive)_forheima_0045.exe
- %TEMP%\nsi2.tmp
- %TEMP%\nss3.tmp\tg.dll
- C:\ddg_5010.exe
- C:\KAVD_22_2720.exe
- C:\m.okbai_setup10038.exe
- %TEMP%\nss3.tmp\System.dll
- %PROGRAM_FILES%\dodoguo5010\DDGUOServer.exe
- %PROGRAM_FILES%\dodoguo5010\decode.dll
- %PROGRAM_FILES%\dodoguo5010\DDGFlash.swf
- %TEMP%\nss3.tmp\iotemp.ini
- %TEMP%\nss3.tmp\services.dll
- %PROGRAM_FILES%\dodoguo5010\dodoguo5010.exe
Удаляет следующие файлы:
- %TEMP%\nss3.tmp\System.dll
- %TEMP%\nss3.tmp\tg.dll
- %TEMP%\nss3.tmp\iotemp.ini
- %TEMP%\nss3.tmp\services.dll
Перемещает следующие файлы:
- %TEMP%\kingsoftkonline\KAVD_22_2720.exe.tmp в %TEMP%\kingsoftkonline\KAVD_22_2720.exe
Сетевая активность:
Подключается к:
- 'cd###.www.duba.net':80
- 'localhost':1048
- 'do####ad.pplive.com':80
- 'localhost':1036
- 'bo.###a.net:8080':80
TCP:
Запросы HTTP GET:
- cd###.www.duba.net/duba/install/2011/ever/kavsetups_22_0.exe
- do####ad.pplive.com/PPTV(pplive)_forheima_0045.exe
- bo.###a.net:8080/pagetracer2/duba/__utm.gif?01#######################################################################################################################
UDP:
- DNS ASK di#####.doudouguo.com
- DNS ASK GU#####O.DOUDOUGUO.COM
- DNS ASK wz##49.com
- DNS ASK www.ba##u.com
- DNS ASK bo.###a.net:8080
- DNS ASK do####ad.pplive.com
- DNS ASK UP####.DOUDOUGUO.COM
- DNS ASK cd###.www.duba.net
- 'up####.doudouguo.com':5969
- 'gu#####o.doudouguo.com':6570
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: ''
