Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\svch0st.exe'
Malicious functions:
Creates and executes the following:
- %TEMP%\7ZipSfx.000\WYWZ\Wywz.exe
- <Current directory>\temp.exe
- <SYSTEM32>\svch0st.exe
Modifies file system :
Creates the following files:
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\PSPad.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\ProcessGuard.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\RazorLame.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\QuickTime.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\PowerDVD.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Office Password Recovery.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Office Key.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\PE Explorer.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Passolo.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\ssm.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Spybot Search and Destroy.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\temp.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Symantec.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Sandboxie.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\realplayer.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\reader_564.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Safari.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\regsnap.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Microsoft HTML Help.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\MemoriesOnTV.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\mpc.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Microsoft Visual C++.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\McAfee.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Macromedia Flash MX.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Macromedia Firework MX.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\MainConcept MPEG Encoder.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Magic ISO Maker.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Netmeeting.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\nero.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\O&O Defrag.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\NotePad+.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Nero Wave Editor.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\MSN Messenger User Account.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\MSN Messager.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Multimedia Builder.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\MSN Tool Bar.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\ThreatFire.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\z_System_jianfei.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Zoom Player.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\删除skype聊天记录.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\删除skype使用痕迹.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Yahoo! Messenger.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\WisMencoder.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\winrar.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Xplorer2 Pro.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\wmp11.wyz
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\4516684d-4f67-45b4-8dad-845e29eceb2a
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\ЧФ¶ЁТеОДјюЙѕіэ.wyz
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\系统盘未使用空间.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\拍拍烧.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\金山词霸.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\自定义文件删除.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\UltraEdit.wyz
- %HOMEPATH%\Local Settings\Tempver.ini
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\usb.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\UltraISO.wyz
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ver[1].txt
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Totalcmd.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\TMPGEnc Plus.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Ulead VideoStudio.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\TTPlayer.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\WinImage.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Windows memory dumps.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\WinMerge.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\WinISO.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\winavi.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\VideoPack.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\uTorrent 1.x.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Winamp.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\virtual.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Macromedia Dreamweaver MX.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\2003 Prefetch.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Ulead VideoStudio.wyz.bak
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\7-Zip.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\3GP Video.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\nero.wyz.bak
- %TEMP%\7ZipSfx.000\WYWZ\filed.sys
- %TEMP%\7ZipSfx.000\WYWZ\wywz.dll
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Nero Wave Editor.wyz.bak
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\McAfee.wyz.bak
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\AnVir Task Manager.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\AntiVir.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Audition.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\AppCompatCache.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Alcohol 120%.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Acrobat Reader.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\ACDSee.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Agnitum Outpost Pro.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Adobe Acrobat.wyz
- %TEMP%\7ZipSfx.000\WYWZ\native.bin
- %TEMP%\7ZipSfx.000\WYWZ\xvdesk2.ico
- %TEMP%\7ZipSfx.000\WYWZ\使用说明.rtf
- %TEMP%\7ZipSfx.000\WYWZ\config.ini
- %TEMP%\7ZipSfx.000\WYWZ\xvdesk1.ico
- <SYSTEM32>\svch0st.exe
- %TEMP%\aut1.tmp
- <Current directory>\temp.exe
- %TEMP%\aut2.tmp
- %TEMP%\7ZipSfx.000\WYWZ\Eraser.dll
- %TEMP%\7ZipSfx.000\WYWZ\ZAWizard.exe
- %TEMP%\7ZipSfx.000\WYWZ\filed.dll
- %TEMP%\7ZipSfx.000\WYWZ\Erasext.dll
- %TEMP%\7ZipSfx.000\WYWZ\XVDesk.exe
- %TEMP%\7ZipSfx.000\WYWZ\PluginMaker.exe
- %TEMP%\7ZipSfx.000\WYWZ\HashJet.exe
- %TEMP%\7ZipSfx.000\WYWZ\Wywz.exe
- %TEMP%\7ZipSfx.000\WYWZ\subinacl.exe
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\AutoPlay.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\graphedit.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\gpass.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\HyperSnap 6.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\HIPS.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\gp.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Google Pinyin.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\GoldWave.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Google Toolbar.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Google Talk.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\kmp.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Kaspersky Lab.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\LooknStop.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Locate32.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Java Cache Clear.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\IE弹出窗口.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\ico.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\IrfanView 3.x.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\ImgBurn.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\CuteFTP.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\COMODO Firewall Pro.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Dr Watson.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\DivX Player.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\bsplayer.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Avlgomgr.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Avast4.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\bga.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Beyond Compare.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\FLVPlayer4Free.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\FlashFXP.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Ghost Explorer.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Foxit Reader.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Flash Player.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\EmEditor.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\dr.web.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Firefox.wyz
- %TEMP%\7ZipSfx.000\WYWZ\Plugins\Emule.wyz
Sets the 'hidden' attribute to the following files:
- <Current directory>\temp.exe
Deletes the following files:
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
Network activity:
Connects to:
- 'gd.##annao.com':8080
- 'localhost':1038
- 'up###a.co.tv':80
TCP:
HTTP GET requests:
- up###a.co.tv/ver.txt
UDP:
- DNS ASK gd.##annao.com
- DNS ASK up###a.co.tv
- DNS ASK www.ba##u.com
Miscellaneous:
Searches for the following windows:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
