Technical Information
Malicious functions:
Creates and executes the following:
- 'C:\lnk.exe'
- '%TEMP%\RarSFX0\diyoem.exe'
- 'C:\wgpc.exe'
- 'C:\wgoem.exe'
Executes the following:
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Default_Page_URL" /t reg_sz /d http://wg##.com/hao123.htm?yx############################################## /f
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t reg_sz /d http://wg##.com/hao123.htm?yx################################################# /f
- '<SYSTEM32>\cmd.exe' /c ""c:\wgpc.bat" "
Sets a new unauthorized home page for Windows Internet Explorer.
Modifies file system :
Creates the following files:
- %TEMP%\RarSFX0\oemdata\opteron\oemlink.ico
- %TEMP%\RarSFX0\oemdata\opteron\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\nec\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\opteron\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\others\oemdiy.bmp
- %TEMP%\RarSFX0\oemdata\others\bfly.ico
- %TEMP%\RarSFX0\oemdata\others\Aqua OS.ico
- %TEMP%\RarSFX0\oemdata\lg\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\lenovo\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\lenovo\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\lg\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\nec\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\nec\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\lg\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\pd\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\p4ht\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\p4ht\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\pd\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\pe\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\pe\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\pd\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\p3\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\p3\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\p3\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\p4\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\p4ht\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\p4\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\p4\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\lenovo\oeminfo.ini
- %TEMP%\RarSFX0\oemdata\hp\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\hp\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\hp\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\ibm\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\itanium\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\ibm\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\ibm\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\hedy\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\hedy\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\hasee\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\hedy\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\hisense\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\hisense\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\hisense\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\k6iii\oemlink.ico
- %TEMP%\RarSFX0\oemdata\k6iii\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\k6ii\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\k6iii\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\legend\OEMLOGO.bmp
- %TEMP%\RarSFX0\oemdata\legend\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\legend\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\k6i\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\itanium\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\itanium\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\k6i\oemlink.ico
- %TEMP%\RarSFX0\oemdata\k6ii\oemlink.ico
- %TEMP%\RarSFX0\oemdata\k6ii\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\k6i\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\viac7\OEMLINK.bmp
- %TEMP%\RarSFX0\oemdata\viac7\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\viac3\OEMLOGO.bmp
- %TEMP%\RarSFX0\oemdata\viac7\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\viac7m\OEMLOGO.bmp
- %TEMP%\RarSFX0\oemdata\viac7m\OEMLINK.bmp
- %TEMP%\RarSFX0\oemdata\viac7m\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\turion64\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\Tsunis\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\Tsunis\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\turion64\oemlink.ico
- %TEMP%\RarSFX0\oemdata\viac3\OEMLINK.bmp
- %TEMP%\RarSFX0\oemdata\viac3\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\turion64\oemlogo.bmp
- %TEMP%\RarSFX0\prep\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\xinlan\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\xinlan\OEMLINK.ICO
- %TEMP%\RarSFX0\prep\oeminfo.ini
- %TEMP%\RarSFX0\dd.ico
- %TEMP%\RarSFX0\awpc.ico
- %TEMP%\RarSFX0\prep\userinfo.ini
- %TEMP%\RarSFX0\oemdata\viaeden\OEMLOGO.bmp
- %TEMP%\RarSFX0\oemdata\viaeden\OEMLINK.bmp
- %TEMP%\RarSFX0\oemdata\viaeden\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\xeon\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\xinlan\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\xeon\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\xeon\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\Tsunis\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\Sempron\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\Sempron\oemlink.ico
- %TEMP%\RarSFX0\oemdata\Sempron\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\sempronm\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\sony\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\sempronm\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\sempronm\oemlink.ico
- %TEMP%\RarSFX0\oemdata\pm\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\pm\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\pe\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\pm\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\samsung\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\samsung\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\samsung\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\thtf\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\thtf\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\tcl\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\thtf\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\tosh\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\tosh\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\tosh\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\star\oeminfo.ini
- %TEMP%\RarSFX0\oemdata\sony\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\sony\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\star\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\tcl\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\tcl\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\star\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\hasee\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\athlon64fx\oemlink.ico
- %TEMP%\RarSFX0\oemdata\athlon64fx\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\athlon64\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\athlon64fx\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\athlonx2\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\athlonx2\oemlink.ico
- %TEMP%\RarSFX0\oemdata\athlonx2\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\athlon\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\asus\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\asus\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\athlon\oemlink.ico
- %TEMP%\RarSFX0\oemdata\athlon64\oemlink.ico
- %TEMP%\RarSFX0\oemdata\athlon64\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\athlon\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\blank.bmp
- %TEMP%\RarSFX0\oemdata\benq\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\benq\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\bluestar\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\boe\oeminfo.ini
- %TEMP%\RarSFX0\oemdata\bluestar\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\bluestar\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\athlonxp\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\athlonxp\oemlink.ico
- %TEMP%\RarSFX0\oemdata\athlonxp\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\bayi\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\benq\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\bayi\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\bayi\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\asus\OEMINFO.INI
- %TEMP%\RarSFX0\whatnew.txt
- C:\hao123.exe
- %TEMP%\RarSFX0\tips.txt
- C:\无线网卡办理.exe
- C:\电脑商店.exe
- %TEMP%\RarSFX0\language\English.ini
- C:\百度搜索.exe
- C:\wgpc.bat
- C:\wgpc.exe
- C:\wgoem.exe
- %TEMP%\RarSFX0\diyoem.exe
- %TEMP%\RarSFX0\readme.txt
- %TEMP%\RarSFX0\oemdiy.ini
- %TEMP%\RarSFX0\guide.exe
- %TEMP%\RarSFX0\oemdata\althonmp\oemlink.ico
- %TEMP%\RarSFX0\oemdata\althonmp\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\acer\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\althonmp\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\ascend\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\ascend\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\ascend\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\a64m\OEMINFO.INI
- %TEMP%\RarSFX0\language\简体中文.ini
- C:\lnk.exe
- %TEMP%\RarSFX0\oemdata\a64m\oemlink.ico
- %TEMP%\RarSFX0\oemdata\acer\OEMLINK.ico
- %TEMP%\RarSFX0\oemdata\acer\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\a64m\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\duron\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\dell\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\dell\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\duron\oemlink.ico
- %TEMP%\RarSFX0\oemdata\eway\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\eway\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\duron\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\cores\OEMLOGO.bmp
- %TEMP%\RarSFX0\oemdata\cores\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\cores\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\crusoe\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\dell\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\crusoe\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\crusoe\oemlink.ico
- %TEMP%\RarSFX0\oemdata\gw\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\gw\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\gw\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\haier\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\hasee\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\haier\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\haier\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\founder\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\founder\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\eway\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\founder\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\fuji\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\fuji\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\fuji\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\coreduo\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\Celeronm\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\Celeronm\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\Celerond\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\Celeronm\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\centrino\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\centrino\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\centrino\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\Celeron\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\boe\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\boe\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\Celeron\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\Celerond\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\Celerond\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\Celeron\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\core2q\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\core2e\OEMLOGO.bmp
- %TEMP%\RarSFX0\oemdata\core2e\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\core2q\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\coreduo\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\coreduo\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\core2q\OEMLOGO.bmp
- %TEMP%\RarSFX0\oemdata\compaq\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\compaq\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\compaq\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\core2d\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\core2e\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\core2d\OEMLOGO.bmp
- %TEMP%\RarSFX0\oemdata\core2d\OEMLINK.ICO
Network activity:
Connects to:
- 'www.vo##r.com':80
TCP:
HTTP GET requests:
- www.vo##r.com/st/oemdiy.ver
UDP:
- DNS ASK www.vo##r.com
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
