PUA.Win32.Yantai.BB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %Desktop%\ËÙÀË×ÀÃæ.lnk
• %Desktop%\桔子浏览器.lnk
• %Desktop%\½Û×Óä¯ÀÀÆ÷.lnk

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• %Program Files%\SuLangDesk\Slky.exe
• %Program Files%\SuLangDesk\SlDrv.exe -uninstall
• %Program Files%\SuLangDesk\SlShld.exe
• %Program Files%\SuLangDesk\SLDesk.exe
• %Program Files%\SuLangDesk\SulangWrapper.exe

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Erstellt die folgenden Ordner:

• %Program Files%\SuLangDesk → where it stores its installation files
• %Application Data%\JuziBrowser → where it stores its bundled web browser program
• %User Temp%\{random hex}.tmp

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKCU
Software = SulangDesk

HKCU
Software = JuziBrowser

HKLM
Software = JuziBrowser

Andere Details

It connects to the following possibly malicious URL:

• http://log.{BLOCKED}i.net/log.php?type=installEnd&ver=1.0.8.9&cid=99183870_u2_hao
• http://tj.{BLOCKED}.com/status.php
• http://tj.{BLOCKED}.com/limit.php
• http://{BLOCKED}2.{BLOCKED}4.cn/webgame/hazg/HAZG8852.exe
• http://www.{BLOCKED}j.com/3a=http://www.tczjj.com/date/9377mycs_N_dcrmy01.exe
• http://dl.{BLOCKED}2.com/files/third/wdj_dc.gif
• http://download.{BLOCKED}o123.com/setup/setup_10100.exe
• http://cdn.sh.{BLOCKED}mm.com/manage/downloadtool/MagicPlusDownload-Channel_dl_Scarecrow.exe
• http://down.{BLOCKED}e.com/p/Setup_oemxdxdtg.exe