Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Сф№вёЯЗеУ°КУ' = '"%PROGRAM_FILES%\Sunshine\Sunshine.exe" /autostart'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\is-4CBFR.tmp\Л¬Ж¬ІҐ·ЕЖч_7176_1153_hd.tmp' /SL5="$10104,492792,139776,C:\Л¬Ж¬ІҐ·ЕЖч_7176_1153_hd.exe"
- '%PROGRAM_FILES%\Sunshine\Sunshine.exe'
- 'C:\fyjm_77_1153.exe'
- 'C:\Л¬Ж¬ІҐ·ЕЖч_7176_1153_hd.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%TEMP%\is-VNLES.tmp\App.dll"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\is-4CBFR.tmp\RCX3.tmp
- %TEMP%\is-VNLES.tmp\Uninstall.ico
- %PROGRAM_FILES%\Sunshine\is-FFCO9.tmp
- %PROGRAM_FILES%\Sunshine\is-LPC3I.tmp
- %TEMP%\nsz2.tmp\Internet.dll
- %PROGRAM_FILES%\Fengyun\uninst.exe
- %TEMP%\install.xml
- %TEMP%\nsz2.tmp\System.dll
- %PROGRAM_FILES%\Sunshine\is-PM523.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\update_23[1].ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\hdtv[1].html
- %TEMP%\update.ini
- %ALLUSERSPROFILE%\Desktop\Сф№вёЯЗеУ°КУ.lnk
- %PROGRAM_FILES%\Sunshine\is-OTFUE.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\finish[1].asp
- %PROGRAM_FILES%\Sunshine\unins000.dat
- %TEMP%\is-VNLES.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-VNLES.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-VNLES.tmp\psvince.dll
- %TEMP%\is-VNLES.tmp\UpdateIcon.dll
- %TEMP%\nsz2.tmp\Inetc.dll
- C:\fyjm_77_1153.exe
- %TEMP%\is-4CBFR.tmp\Л¬Ж¬ІҐ·ЕЖч_7176_1153_hd.tmp
- C:\Л¬Ж¬ІҐ·ЕЖч_7176_1153_hd.exe
- %TEMP%\is-VNLES.tmp\App.dll
- %PROGRAM_FILES%\Fengyun\·зФЖЦ±ІҐ.url
- %HOMEPATH%\Desktop\·зФЖЦ±ІҐ.lnk
- %HOMEPATH%\Start Menu\Programs\·зФЖЦ±ІҐ\Uninstall.lnk
- %HOMEPATH%\Start Menu\Programs\·зФЖЦ±ІҐ\Website.lnk
- %TEMP%\nsz2.tmp\config.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\config[1].txt
- %HOMEPATH%\Start Menu\Programs\·зФЖЦ±ІҐ\·зФЖЦ±ІҐ.lnk
- %PROGRAM_FILES%\Fengyun\fengyun.exe
Удаляет следующие файлы:
- %TEMP%\is-VNLES.tmp\UpdateIcon.dll
- %TEMP%\is-VNLES.tmp\Uninstall.ico
- %TEMP%\is-VNLES.tmp\psvince.dll
- %TEMP%\update.ini
- %TEMP%\is-VNLES.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-VNLES.tmp\_isetup\_RegDLL.tmp
- %TEMP%\nsz2.tmp\Internet.dll
- %TEMP%\nsz2.tmp\Inetc.dll
- %TEMP%\nsz2.tmp\config.txt
- %TEMP%\is-VNLES.tmp\App.dll
- %TEMP%\is-4CBFR.tmp\Л¬Ж¬ІҐ·ЕЖч_7176_1153_hd.tmp
- %TEMP%\nsz2.tmp\System.dll
Перемещает следующие файлы:
- %PROGRAM_FILES%\Sunshine\is-FFCO9.tmp в %PROGRAM_FILES%\Sunshine\Sunshine.exe
- %PROGRAM_FILES%\Sunshine\is-PM523.tmp в %PROGRAM_FILES%\Sunshine\Sunshine.dll
- %PROGRAM_FILES%\Sunshine\is-OTFUE.tmp в %PROGRAM_FILES%\Sunshine\Update.exe
- %TEMP%\is-4CBFR.tmp\Л¬Ж¬ІҐ·ЕЖч_7176_1153_hd.tmp в %TEMP%\is-4CBFR.tmp\Л¬Ж¬ІҐ·ЕЖч_7176_1153_hd.tmp.tmp
- %TEMP%\is-4CBFR.tmp\RCX3.tmp в %TEMP%\is-4CBFR.tmp\Л¬Ж¬ІҐ·ЕЖч_7176_1153_hd.tmp
- %PROGRAM_FILES%\Sunshine\is-LPC3I.tmp в %PROGRAM_FILES%\Sunshine\unins000.exe
Сетевая активность:
Подключается к:
- 'localhost':1043
- 'aj####.hfdty.com':80
- 'li##.64ma.com':80
- 'tv.##dty.com':80
- 'c.##xyg.com':80
- 'localhost':1037
- 'www.ls##n.cn':80
- 'b.##xyg.com':80
- 'a.##dty.com':80
- 'localhost':1040
TCP:
Запросы HTTP GET:
- aj####.hfdty.com/yanggunag.html???#########################
- c.##xyg.com/update_23.ini?52######
- tv.##dty.com/hdtv.html?52######
- www.ls##n.cn/config.txt
- b.##xyg.com/hd/yangng1.xml
- a.##dty.com/finish.asp?us######################################################################################################################################################
UDP:
- DNS ASK li##.64ma.com
- DNS ASK aj####.hfdty.com
- DNS ASK tv.##dty.com
- DNS ASK c.##xyg.com
- DNS ASK a.##xyg.com
- DNS ASK www.ls##n.cn
- DNS ASK a.##dty.com
- DNS ASK b.##xyg.com
Другое:
Ищет следующие окна:
- ClassName: 'TNewButton' WindowName: '??????(&N) >'
- ClassName: 'TWizardForm' WindowName: '????????????'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'ReBarWindow32' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'ToolbarWindow32' WindowName: '(null)'
- ClassName: 'MSTaskSwWClass' WindowName: '(null)'
