Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\KupSvrLookup] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\nsy2.tmp\nsC.tmp ipseccmd -p Block9 -r Block9 -f 221.194.*.*+0 -n BLOCK -x
- %TEMP%\nsy2.tmp\nsB.tmp ipseccmd -p Block8 -r Block8 -f 220.181.*.*+0 -n BLOCK -x
- %TEMP%\nsy2.tmp\nsA.tmp ipseccmd -p Block6 -r Block6 -f 125.39.*.*+0 -n BLOCK -x
- %TEMP%\nsy2.tmp\nsD.tmp ipseccmd -p Block0 -r Block0 -f 118.145.*.*+0 -n BLOCK -x
- %TEMP%\nsqF.tmp\ns11.tmp sc description KupSvrLookup "К№УГ IPv6 ЧЄ»»јјКхМṩЅшРР»ҐБЄНшдЇААёьРВТФј°Ф¤¶БјУЛЩ·юОсЎЈИз№ыНЈЦ№ёГ·юОсЈ¬ФтјЖЛг»ъЅ«І»ѕЯ±ёХвР©јјКхМṩµДјУЛЩ№¦ДЬЎЈ"
- %TEMP%\nsqF.tmp\ns10.tmp sc create KupSvrLookup binpath= "%PROGRAM_FILES%\Common\kupdata.exe" type= share start= auto displayname= "ISATAP And Teredo To Cache Services"
- %PROGRAM_FILES%\FeixinMedia\mysetup.exe
- %TEMP%\nsy2.tmp\ns6.tmp ipseccmd -p Block1 -r BlockTCP -f 119.147.*.*+0 -n BLOCK -x
- %TEMP%\nsy2.tmp\ns5.tmp sc start PolicyAgent
- <Текущая директория>\mzone-0001.exe
- %PROGRAM_FILES%\FeixinMedia\ipseccmd.exe -p Block8 -r Block8 -f 220.181.*.*+0 -n BLOCK -x -p Block6 -r Block6 -f 125.39.*.*+0 -n BLOCK -x -p Block0 -r Block0 -f 118.145.*.*+0 -n BLOCK -x -p Block9 -r Block9 -f 221.194.*.*+0 -n BLOCK -x -p Block2 -r BlockNEW -f 119.188.*.*+0 -n BLOCK -x -p Block1 -r BlockTCP -f 119.147.*.*+0 -n BLOCK -x -p Block4 -r BlockTHREE -f 124.238.*.*+0 -n BLOCK -x -p Block3 -r BlockTWO -f 122.70.*.*+0 -n BLOCK -x
- %TEMP%\nsy2.tmp\ns9.tmp ipseccmd -p Block4 -r BlockTHREE -f 124.238.*.*+0 -n BLOCK -x
- %TEMP%\nsy2.tmp\ns8.tmp ipseccmd -p Block3 -r BlockTWO -f 122.70.*.*+0 -n BLOCK -x
- %TEMP%\nsy2.tmp\ns7.tmp ipseccmd -p Block2 -r BlockNEW -f 119.188.*.*+0 -n BLOCK -x
Запускает на исполнение:
- <SYSTEM32>\sc.exe description KupSvrLookup "К№УГ IPv6 ЧЄ»»јјКхМṩЅшРР»ҐБЄНшдЇААёьРВТФј°Ф¤¶БјУЛЩ·юОсЎЈИз№ыНЈЦ№ёГ·юОсЈ¬ФтјЖЛг»ъЅ«І»ѕЯ±ёХвР©јјКхМṩµДјУЛЩ№¦ДЬЎЈ"
- <SYSTEM32>\sc.exe create KupSvrLookup binpath= "%PROGRAM_FILES%\Common\kupdata.exe" type= share start= auto displayname= "ISATAP And Teredo To Cache Services"
- <SYSTEM32>\sc.exe start PolicyAgent
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Common\sqlite3.dll
- %PROGRAM_FILES%\FeixinMedia\mysetup.exe
- %PROGRAM_FILES%\Common\msxml2.dll
- %PROGRAM_FILES%\Common\ypac.txt
- %TEMP%\nsy2.tmp\nsD.tmp
- %TEMP%\nsy2.tmp\nsA.tmp
- %TEMP%\nsy2.tmp\ns9.tmp
- %TEMP%\nsy2.tmp\nsC.tmp
- %TEMP%\nsy2.tmp\nsB.tmp
- %TEMP%\nsqF.tmp\nsExec.dll
- %TEMP%\nsqF.tmp\System.dll
- %TEMP%\nsqF.tmp\ns11.tmp
- %TEMP%\nsqF.tmp\ns10.tmp
- %TEMP%\nsqF.tmp\AccessControl.dll
- %PROGRAM_FILES%\Common\kupdata.exe
- %PROGRAM_FILES%\Common\sfdrv01-nos.sys
- %PROGRAM_FILES%\Common\sfdrv01.sys
- %PROGRAM_FILES%\Common\suject.db
- %TEMP%\nsy2.tmp\nsRandom.dll
- %PROGRAM_FILES%\FeixinMedia\un0217044000638.exe
- %TEMP%\nsv4.tmp\ioSpecial.ini
- %TEMP%\nsy2.tmp\Internet.dll
- %PROGRAM_FILES%\FeixinMedia\temp0217044000638.ini
- %PROGRAM_FILES%\FeixinMedia\s0001.xml
- %PROGRAM_FILES%\FeixinMedia\menu.xml
- %TEMP%\nsy2.tmp\System.dll
- <Текущая директория>\mzone-0001.exe
- %TEMP%\nsy2.tmp\ns6.tmp
- %TEMP%\nsy2.tmp\ns5.tmp
- %TEMP%\nsy2.tmp\ns8.tmp
- %TEMP%\nsy2.tmp\ns7.tmp
- %TEMP%\nsy2.tmp\nsExec.dll
- %TEMP%\nsv4.tmp\InstallOptions.dll
- %TEMP%\nsv4.tmp\modern-wizard.bmp
- %PROGRAM_FILES%\FeixinMedia\ipseccmd.exe
- %TEMP%\nsy2.tmp\nsisplugin.dll
Удаляет следующие файлы:
- %TEMP%\nsy2.tmp\nsB.tmp
- %TEMP%\nsy2.tmp\nsA.tmp
- %TEMP%\nsy2.tmp\nsC.tmp
- %TEMP%\nsqF.tmp\ns10.tmp
- %TEMP%\nsy2.tmp\nsD.tmp
- %TEMP%\nsy2.tmp\ns6.tmp
- %TEMP%\nsy2.tmp\ns5.tmp
- %TEMP%\nsy2.tmp\ns7.tmp
- %TEMP%\nsy2.tmp\ns9.tmp
- %TEMP%\nsy2.tmp\ns8.tmp
Сетевая активность:
Подключается к:
- 'tj.#233.com':80
TCP:
Запросы HTTP GET:
- tj.#233.com/svr.asp?c=########################################
UDP:
- DNS ASK tj.#233.com
- '<IP-адрес в локальной сети>':1036
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
