Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'QQDll' = 'RUNDLL32.EXE C:\Log\QQ.dll,RegReg'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\GoSvr] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\GG\GG.exe'
- '%PROGRAM_FILES%\GG\flashplayer.exe'
- '%PROGRAM_FILES%\GG\GoSvr.exe'
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' start GoSvr
- '<SYSTEM32>\sc.exe' create GoSvr binpath= "%PROGRAM_FILES%\GG\GoSvr.exe" start= auto
Завершает или пытается завершить
следующие пользовательские процессы:
- 360tray.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\desktop.ini
- <SYSTEM32>\Macromed\Flash\uninstall_activeX.exe
- <SYSTEM32>\Macromed\Flash\FlashUtil9f.exe
- %TEMP%\nsk2.tmp\NSISArray.dll
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\8XE345UV\desktop.ini
- %WINDIR%\Temp\History\History.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\8XE345UV\api[1].jsp
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\GFIHQ9ER\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\05IF8L6N\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\F8LAZUAW\desktop.ini
- %PROGRAM_FILES%\GG\GG.exe
- C:\Log\QQ.dll
- %WINDIR%\webs
- %PROGRAM_FILES%\GG\flashplayer.exe
- %PROGRAM_FILES%\GG\GoSvr.exe
- C:\Log\webs
- %TEMP%\nsk2.tmp\fpinstall.dll
- <SYSTEM32>\Macromed\Flash\Flash9f.ocx
- %TEMP%\nsk2.tmp\UserInfo.dll
- %TEMP%\nsk2.tmp\System.dll
- <SYSTEM32>\Macromed\Flash\install.log
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\F8LAZUAW\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\GFIHQ9ER\desktop.ini
- %WINDIR%\Temp\History\History.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\8XE345UV\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\05IF8L6N\desktop.ini
Удаляет следующие файлы:
- <SYSTEM32>\Macromed\Flash\flash.ocx
Сетевая активность:
Подключается к:
- 'st##.myl23.com':80
TCP:
Запросы HTTP GET:
- st##.myl23.com/api.jsp?da###############################################################
UDP:
- DNS ASK st##.myl23.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '17A30E37-6DA8-466c-AC6F-B18C3C7BFE04' WindowName: '(null)'
