Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Skycn\Helper.exe' install
- '%PROGRAM_FILES%\Skycn\Helper.exe' "filename|<Полный путь к вирусу>"
- '%PROGRAM_FILES%\Skycn\Skycn.exe'
- '%TEMP%\is-776VP.tmp\<Имя вируса>.tmp' /SL5="$30092,966165,65536,<Полный путь к вирусу>"
- '%TEMP%\is-QM3SO.tmp\install.exe' "<Полный путь к вирусу>"
- '%TEMP%\is-VRC6E.tmp\<Имя вируса>.tmp' /SL5="$50036,966165,65536,<Полный путь к вирусу>" /VERYSILENT /SP- /norestart /SUPPRESSMSGBOXES
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\Skycn\SkyATL.dll"
- '<SYSTEM32>\taskkill.exe' /f /im skycn.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Skycn\data\is-NP85D.tmp
- %PROGRAM_FILES%\Skycn\data\is-2I6GD.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\МмїХј«ЛЩПВФШЖч\МмїХј«ЛЩПВФШЖч.lnk
- %PROGRAM_FILES%\Skycn\data\is-1P34N.tmp
- %PROGRAM_FILES%\Skycn\data\is-1I8UG.tmp
- %PROGRAM_FILES%\Skycn\is-4T1RK.tmp
- %PROGRAM_FILES%\Skycn\data\is-SFKM1.tmp
- %PROGRAM_FILES%\Skycn\data\is-I4V77.tmp
- %PROGRAM_FILES%\Skycn\data\data.dat
- %PROGRAM_FILES%\Skycn\data\data.dat-journal
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\luncher[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\luncher[1].htm
- %ALLUSERSPROFILE%\Desktop\МмїХј«ЛЩПВФШЖч.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\МмїХј«ЛЩПВФШЖч\Р¶ФШПВФШЖч.lnk
- %PROGRAM_FILES%\Skycn\unins000.dat
- %PROGRAM_FILES%\Skycn\is-1V0S3.tmp
- %TEMP%\is-9CQ11.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-VRC6E.tmp\<Имя вируса>.tmp
- %PROGRAM_FILES%\Skycn\is-H442P.tmp
- %TEMP%\is-9CQ11.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-QM3SO.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-776VP.tmp\<Имя вируса>.tmp
- %TEMP%\is-QM3SO.tmp\install.exe
- %TEMP%\is-QM3SO.tmp\_isetup\_shfoldr.dll
- %PROGRAM_FILES%\Skycn\is-DIVHV.tmp
- %PROGRAM_FILES%\Skycn\is-77BDV.tmp
- %PROGRAM_FILES%\Skycn\is-32307.tmp
- %PROGRAM_FILES%\Skycn\is-AQ9VA.tmp
- %PROGRAM_FILES%\Skycn\is-9A5FN.tmp
- %PROGRAM_FILES%\Skycn\is-SUQAT.tmp
- %PROGRAM_FILES%\Skycn\is-N5HI0.tmp
- %PROGRAM_FILES%\Skycn\is-P4GL2.tmp
Удаляет следующие файлы:
- %TEMP%\is-VRC6E.tmp\<Имя вируса>.tmp
- %TEMP%\is-9CQ11.tmp\_isetup\_shfoldr.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\luncher[1].htm
- %PROGRAM_FILES%\Skycn\data\data.dat-journal
- %TEMP%\is-9CQ11.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-QM3SO.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-QM3SO.tmp\install.exe
- %TEMP%\is-776VP.tmp\<Имя вируса>.tmp
- %TEMP%\is-QM3SO.tmp\_isetup\_shfoldr.dll
Перемещает следующие файлы:
- %PROGRAM_FILES%\Skycn\data\is-1I8UG.tmp в %PROGRAM_FILES%\Skycn\data\acbarset.cfg
- %PROGRAM_FILES%\Skycn\data\is-I4V77.tmp в %PROGRAM_FILES%\Skycn\data\acset.cfg
- %PROGRAM_FILES%\Skycn\is-1V0S3.tmp в %PROGRAM_FILES%\Skycn\Helper.exe
- %PROGRAM_FILES%\Skycn\is-4T1RK.tmp в %PROGRAM_FILES%\Skycn\srvlst.dat
- %PROGRAM_FILES%\Skycn\data\is-SFKM1.tmp в %PROGRAM_FILES%\Skycn\data\commdata.dll
- %PROGRAM_FILES%\Skycn\data\is-1P34N.tmp в %PROGRAM_FILES%\Skycn\data\dlService.exe
- %PROGRAM_FILES%\Skycn\srvlst.dat.tmp в %PROGRAM_FILES%\Skycn\srvlst.dat
- %PROGRAM_FILES%\Skycn\data\is-2I6GD.tmp в %PROGRAM_FILES%\Skycn\data\config.ini
- %PROGRAM_FILES%\Skycn\data\is-NP85D.tmp в %PROGRAM_FILES%\Skycn\data\data.dll
- %PROGRAM_FILES%\Skycn\is-9A5FN.tmp в %PROGRAM_FILES%\Skycn\Microsoft.VC80.MFC.manifest
- %PROGRAM_FILES%\Skycn\is-P4GL2.tmp в %PROGRAM_FILES%\Skycn\Microsoft.VC80.ATL.manifest
- %PROGRAM_FILES%\Skycn\is-H442P.tmp в %PROGRAM_FILES%\Skycn\unins000.exe
- %PROGRAM_FILES%\Skycn\is-SUQAT.tmp в %PROGRAM_FILES%\Skycn\Microsoft.VC80.CRT.manifest
- %PROGRAM_FILES%\Skycn\is-N5HI0.tmp в %PROGRAM_FILES%\Skycn\ATL80.dll
- %PROGRAM_FILES%\Skycn\is-AQ9VA.tmp в %PROGRAM_FILES%\Skycn\Skycn.exe
- %PROGRAM_FILES%\Skycn\is-32307.tmp в %PROGRAM_FILES%\Skycn\sqlite3.dll
- %PROGRAM_FILES%\Skycn\is-77BDV.tmp в %PROGRAM_FILES%\Skycn\npskycn.dll
- %PROGRAM_FILES%\Skycn\is-DIVHV.tmp в %PROGRAM_FILES%\Skycn\SkyATL.dll
Сетевая активность:
Подключается к:
- 'pz#.##ngyuehd.com':81
- 'tr###.wangyuehd.com':80
- 'www.sk##n.com':80
TCP:
Запросы HTTP GET:
- www.sk##n.com/new/server_new.txt
Запросы HTTP POST:
- tr###.wangyuehd.com/luncher.php
UDP:
- DNS ASK pz#.##ngyuehd.com
- DNS ASK tr###.wangyuehd.com
- DNS ASK www.sk##n.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Skycn_Main_Class' WindowName: '(null)'
