Technical Information
Malicious functions:
Executes the following:
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://dn#.qq.com/?AD########################
Terminates or attempts to terminate
the following user processes:
- iexplore.exe
Modifies file system :
Creates the following files:
- %WINDIR%\NF\ХэіЈ·юОсЖч2.bmp
- %WINDIR%\NF\ХэіЈ·юОсЖч1.bmp
- %WINDIR%\NF\РйИхДЈКЅ2.bmp
- %WINDIR%\NF\ХэіЈ·юОсЖч3.bmp
- %WINDIR%\NF\»рјјДЬГ»КН·Е.bmp
- %WINDIR%\NF\±щјјДЬГ»КН·Е.bmp
- %WINDIR%\NF\ХэіЈ·юОсЖч4.bmp
- %WINDIR%\NF\РйИхДЈКЅ1.bmp
- %WINDIR%\NF\№Ш±Х6.bmp
- %WINDIR%\NF\РЮАнИ«Ії2.bmp
- %WINDIR%\NF\РЮАнИ«Ії1.bmp
- %WINDIR%\NF\Уµј·1.bmp
- %WINDIR%\NF\БјєГ.bmp
- %WINDIR%\NF\ЖХНЁ.bmp
- %WINDIR%\NF\±¬Въ.bmp
- %WINDIR%\NF\ОґЅУµДЦчПЯ.bmp
- %WINDIR%\NF\ё±±ѕДЪ1.bmp
- %WINDIR%\NF\ё±±ѕДЪ.bmp
- %WINDIR%\NF\ЅУКЬ.bmp
- %WINDIR%\NF\И·ИП4.bmp
- %WINDIR%\NF\·ЕЖъ.bmp
- %WINDIR%\NF\НкіЙ.bmp
- %WINDIR%\NF\№«ёж3.bmp
- %WINDIR%\NF\Иэ·Ѕ2.bmp
- %WINDIR%\NF\БмЦч1.bmp
- %WINDIR%\NF\БмЦч2.bmp
- %WINDIR%\NF\Иэ·Ѕ1.bmp
- %WINDIR%\NF\№«ёж2.bmp
- %WINDIR%\NF\Иэ·Ѕ4.bmp
- %WINDIR%\NF\Иэ·Ѕ3.bmp
- %WINDIR%\NF\·ЙЕМ.bmp
- %WINDIR%\NF\·з»ЇµДЛй№З.bmp
- %WINDIR%\NF\пЇКЇ.bmp
- %WINDIR%\NF\ПгМрµДПгЅ¶.bmp
- %WINDIR%\NF\Д§·ЁК¦µДСЄТє.bmp
- %WINDIR%\NF\Д§Б¦Ц®»Ё.bmp
- %WINDIR%\NF\СйЦ¤.bmp
- %WINDIR%\NF\ЧкКЇУІ±Т.bmp
- %WINDIR%\NF\ЛЩ¶И№эВэ1.bmp
- %WINDIR%\NF\СЎФсЖµµА.bmp
- %WINDIR%\NF\СЎЗшЅзГж2.bmp
- %WINDIR%\NF\ЛЩ¶И№эВэ2.bmp
- %WINDIR%\NF\ЅрЙ«РЎѕ§їй.bmp
- %WINDIR%\NF\Т°ІЭЭ®.bmp
- %WINDIR%\NF\ЛЩ¶И№эВэ3.bmp
- %WINDIR%\NF\»ТЙ«·юОсЖч.bmp
- %WINDIR%\NF\іцКЫ4.bmp
- %WINDIR%\NF\ЙМµкРЮАн2.bmp
- %WINDIR%\NF\BOSSГ»ЛА.bmp
- %WINDIR%\NF\іцКЫ5.bmp
- %WINDIR%\NF\јУ°ЩАы2.bmp
- %WINDIR%\NF\јУ°ЩАы1.bmp
- %WINDIR%\NF\ВфОпNPC2.bmp
- %WINDIR%\NF\ЙМµкРЮАн1.bmp
- %WINDIR%\NF\СЎЦРµДјјДЬ.bmp
- %WINDIR%\NF\єЪЙ«РЎѕ§їй.bmp
- %WINDIR%\NF\іцКЫ1.bmp
- %WINDIR%\NF\ВфОпNPC1.bmp
- %WINDIR%\NF\іцКЫ3.bmp
- %WINDIR%\NF\іцКЫ2.bmp
- %WINDIR%\NF\X.bmp
- %WINDIR%\NF\CH.bmp
- %WINDIR%\NF\ИООс¶ФєЕ.bmp
- %WINDIR%\NF\јУФШК§°Ь.bmp
- %WINDIR%\NF\СЎФсЖµµА4.bmp
- %WINDIR%\NF\јУФШК§°Ь3.bmp
- %WINDIR%\NF\јУФШК§°Ь2.bmp
- %WINDIR%\NF\ОпЖ·ЧвБЮ.bmp
- %WINDIR%\NF\ЦчПЯ3.bmp
- %WINDIR%\NF\ЦчПЯ2.bmp
- %WINDIR%\NF\·ЦЅвЧ°±ё2.bmp
- %WINDIR%\NF\ЦчПЯ4.bmp
- %WINDIR%\NF\·ЦЅвК¦.bmp
- %WINDIR%\NF\ЖХНЁИООс2.bmp
- %WINDIR%\NF\ЖХНЁИООс1.bmp
- %WINDIR%\NF\·µ»ШіЗХт2.bmp
- %WINDIR%\NF\·µ»ШіЗХт1.bmp
- %WINDIR%\NF\ЅбКшУОП·1.bmp
- %WINDIR%\NF\нАВл1.bmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\dnf.qq[1].index
- C:\ИХЦѕ.txt
- %WINDIR%\NF\нАВл2.bmp
- %WINDIR%\NF\X3.bmp
- %WINDIR%\NF\·ЕЖєу1.bmp
- %WINDIR%\NF\СЎФсЖµµА3.bmp
- %WINDIR%\NF\СЎФсЖµµА2.bmp
- %WINDIR%\NF\X1.bmp
- %WINDIR%\NF\X2.bmp
- %WINDIR%\NF\ЙМµкРЮАн3.bmp
- %WINDIR%\NF\іцКЫ6.bmp
- %WINDIR%\NF\ЙФєуНЖјц2.bmp
- %WINDIR%\NF\ЙФєуНЖјц1.bmp
- %WINDIR%\NF\ЙФєуНЖјц.bmp
- %WINDIR%\NF\ЙФєуНЖјц3.bmp
- %WINDIR%\NF\72РЎК±Ѕы±Х2.bmp
- %WINDIR%\NF\Ѕы±ХБЛ.bmp
- %WINDIR%\NF\72РЎК±Ѕы±Х1.bmp
- %WINDIR%\NF\УКјю1.bmp
- %WINDIR%\NF\СЎФс·юОсЖчЅзГж.bmp
- %WINDIR%\NF\ЦчПЯ.bmp
- %WINDIR%\NF\ИООсНкіЙ.bmp
- %WINDIR%\NF\МбКѕРЕПў.bmp
- %WINDIR%\NF\УКјю2.bmp
- %WINDIR%\NF\УКјю.bmp
- %WINDIR%\NF\ИООсМбКѕ.bmp
- %WINDIR%\NF\ПЮЦЖµЗВј2.bmp
- %WINDIR%\NF\ПЮЦЖµЗВј1.bmp
- %WINDIR%\NF\ИООсМбКѕєЪ.bmp
- %WINDIR%\NF\ГЬВлґнОу1.bmp
- %WINDIR%\NF\·ЦЅвЧ°±ё1.bmp
- %WINDIR%\NF\ГЬВлґнОу3.bmp
- %WINDIR%\NF\ГЬВлґнОу2.bmp
- %WINDIR%\NF\72РЎК±Ѕы±Х4.bmp
- %WINDIR%\NF\2РЎК±Ѕы±Х1.bmp
- %WINDIR%\NF\2РЎК±Ѕы±Х2.bmp
- %WINDIR%\NF\72РЎК±Ѕы±Х3.bmp
- %WINDIR%\NF\ПЮЦЖЅвіэ.bmp
- %WINDIR%\NF\2РЎК±Ѕы±Х3.bmp
- %WINDIR%\NF\ПЮЦЖЅвіэ3.bmp
- %WINDIR%\NF\ПЮЦЖЅвіэ2.bmp
- %WINDIR%\NF\СЎЗшЅзГж1.bmp
- %WINDIR%\NF\МмїХЦ®іЗИЄЛ®.bmp
- %WINDIR%\NF\ґуµШНј.bmp
- %WINDIR%\NF\µШНјКЗ·сґтїЄ.bmp
- %WINDIR%\NF\МмїХЦ®єЈЦд·ы.bmp
- %WINDIR%\NF\ЖжУцИООс2.bmp
- %WINDIR%\NF\ЖжУцИООс.bmp
- %WINDIR%\NF\МмїХКч№ыКµ.bmp
- %WINDIR%\NF\КҐєЫЛїіс.bmp
- %WINDIR%\NF\їЙТФ№эНј6.bmp
- %WINDIR%\NF\їЙТФ№эНј5.bmp
- %WINDIR%\NF\їЙТФ№эНј4.bmp
- %WINDIR%\NF\ГьФЛУІ±Т.bmp
- %WINDIR%\NF\»ШРэпЪ.bmp
- %WINDIR%\NF\ЙМіЗ.bmp
- %WINDIR%\NF\ёзІјБЦКЦ№З.bmp
- %WINDIR%\NF\ЕДВфРР.bmp
- %WINDIR%\NF\јјДЬАё.bmp
- %WINDIR%\NF\іЙјЁ.bmp
- %WINDIR%\NF\ЕДВфРР2.bmp
- %WINDIR%\NF\РВКЦMPТ©јБ.bmp
- %WINDIR%\NF\ХыАн±і°ь.bmp
- %WINDIR%\NF\Уµј·.bmp
- %WINDIR%\NF\їмЛЩЧй¶У.bmp
- %WINDIR%\NF\°ІИ«ДЈКЅ1.bmp
- %WINDIR%\NF\ЖжУцИООс4.bmp
- %WINDIR%\NF\ЖжУцИООс3.bmp
- %WINDIR%\NF\°ІИ«ДЈКЅ2.bmp
- %WINDIR%\NF\УДБйИьАцСЗµДєЫјЈ.bmp
- %WINDIR%\NF\јвѕ§КЇ.bmp
- %WINDIR%\NF\¶Ф»°.bmp
- %WINDIR%\NF\MPТ©јБ2.bmp
- %WINDIR%\NF\MPТ©јБ1.bmp
- %WINDIR%\NF\HPТ©јБ2.bmp
- %WINDIR%\NF\S9.txt
- %WINDIR%\NF\ИООсКЦІб.bmp
- %WINDIR%\NF\ёцИЛРЕПў.bmp
- %WINDIR%\NF\ПВТ»Ті.bmp
- %WINDIR%\NF\BOSS·ї3.bmp
- %WINDIR%\NF\ЙМµкРЮАн.bmp
- %WINDIR%\NF.zip
- <SYSTEM32>\ActionCentero.dll
- %WINDIR%\NF\BOSS1.bmp
- %WINDIR%\NF\BOSS·ї2.bmp
- %WINDIR%\NF\BOSS·ї1.bmp
- %WINDIR%\NF\BOSS2.bmp
- %WINDIR%\NF\ё±±ѕНв.bmp
- %WINDIR%\NF\ЛўРВ.bmp
- %WINDIR%\NF\ѕьУГ»ШРэпЪ.bmp
- %WINDIR%\NF\ё±±ѕНв1.bmp
- %WINDIR%\NF\їЙТФ№эНј3.bmp
- %WINDIR%\NF\їЙТФ№эНј2.bmp
- %WINDIR%\NF\їЙТФ№эНј1.bmp
- %WINDIR%\NF\№Ш±Х5.bmp
- %WINDIR%\NF\№«ёж1.bmp
- %WINDIR%\NF\№«ёж.bmp
- %WINDIR%\NF\їЛ¶ы¶ЩУЎХВ.bmp
- %WINDIR%\NF\№Ш±Х1.bmp
- %WINDIR%\NF\№Ш±Х4.bmp
- %WINDIR%\NF\№Ш±Х3.bmp
- %WINDIR%\NF\№Ш±Х2.bmp
- %WINDIR%\NF\·ЕЖ.bmp
- %WINDIR%\NF\ЅбКшУОП·.bmp
- %WINDIR%\NF\ємЙ«РЎѕ§їй.bmp
- %WINDIR%\NF\БДМмКдИлМх.bmp
- %WINDIR%\NF\±і°ьїЄ2.bmp
- %WINDIR%\NF\±і°ьїЄ1.bmp
- %WINDIR%\NF\ИвёЙ.bmp
- %WINDIR%\NF\ѕ«БйПгѕ«.bmp
- %WINDIR%\NF\И·ИП2.bmp
- %WINDIR%\NF\И·ИП1.bmp
- %WINDIR%\NF\И·ИП.bmp
- %WINDIR%\NF\И·ИП3.bmp
- %WINDIR%\NF\ГЧж«.bmp
- %WINDIR%\NF\ґрМвИ·ИП.bmp
- %WINDIR%\NF\µЪ3ёс.bmp
- %WINDIR%\NF\ХЛєЕКдИлЅзГж.bmp
- %WINDIR%\NF\ЖА·Ц.bmp
- %WINDIR%\NF\ЙијЖНј.bmp
- %WINDIR%\NF\ФЅЅЫ.bmp
- %WINDIR%\NF\Б¬ЅУЦР¶П.bmp
- %WINDIR%\NF\·µ»ШіЗХт.bmp
- %WINDIR%\NF\єдАЧКч№ыКµ.bmp
- %WINDIR%\NF\ЅЗЙ«Нј±к3.bmp
- %WINDIR%\NF\У©КЇ.bmp
- %WINDIR%\NF\ІЛµҐ.bmp
- %WINDIR%\NF\ЬСВй»ЁТ¶.bmp
- %WINDIR%\NF\ЖПМСѕЖ.bmp
- %WINDIR%\NF\ЅЗЙ«Нј±к2.bmp
- %WINDIR%\NF\ЅЗЙ«Нј±к1.bmp
- %WINDIR%\NF\А¶Й«РЎѕ§їй.bmp
- %WINDIR%\NF\КЗ·сјМРш.bmp
- %WINDIR%\NF\К±їХЦ®ГЕ.bmp
- %WINDIR%\NF\ОЮЅЗЙ«8.bmp
- %WINDIR%\NF\¶ѕГЁНхµД¶ѕСА.bmp
- %WINDIR%\NF\ІвКФ.bmp
- %WINDIR%\NF\»о¶Ї.bmp
- %WINDIR%\NF\Г»Ч°±ё.bmp
- %WINDIR%\NF\ОЮЅЗЙ«7.bmp
- %WINDIR%\NF\ОЮЅЗЙ«2.bmp
- %WINDIR%\NF\ОЮЅЗЙ«1.bmp
- %WINDIR%\NF\ОЮЙ«РЎѕ§їй.bmp
- %WINDIR%\NF\ОЮЅЗЙ«3.bmp
- %WINDIR%\NF\ОЮЅЗЙ«6.bmp
- %WINDIR%\NF\ОЮЅЗЙ«5.bmp
- %WINDIR%\NF\ОЮЅЗЙ«4.bmp
- %WINDIR%\NF\Мр№П.bmp
- %WINDIR%\NF\Йєєч№ы¶і.bmp
- %WINDIR%\NF\ГЁСэЅЕЧ¦.bmp
- %WINDIR%\NF\µЗВЅУОП·.bmp
- %WINDIR%\NF\ЖЖѕЙµДґў№ЮПд.bmp
- %WINDIR%\NF\КЇН·.bmp
- %WINDIR%\NF\°ЧЙ«РЎѕ§їй.bmp
- %WINDIR%\NF\ОпЖ·Аё.bmp
- %WINDIR%\NF\їѕУІµДєЪГж°ь.bmp
- %WINDIR%\NF\Бй»кѕ§КЇ.bmp
- %WINDIR%\NF\»рјјДЬїЄЖф.bmp
- %WINDIR%\NF\ИјЙХЖї.bmp
- %WINDIR%\NF\ОпЖ·ТСВъ.bmp
- %WINDIR%\NF\ЕЈН·№ЦµДУІЅЗ.bmp
- %WINDIR%\NF\±¬µЇ.bmp
Network activity:
Connects to:
- 'dn#.qq.com':80
- 'ip.#q.com':80
- 'localhost':1039
TCP:
HTTP GET requests:
- dn#.qq.com/?AD########################
UDP:
- DNS ASK dn#.qq.com
- DNS ASK ip.#q.com
Miscellaneous:
Searches for the following windows:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
