Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\pclide] 'Start' = '00000002'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\rasacd.sys файлом %TEMP%\qq2.tmp_tmp2
- <DRIVERS>\rasacd.sys файлом %TEMP%\qq2.tmp_tmp
- <SYSTEM32>\dllcache\nmevtmsg.dll файлом %TEMP%\qq1.tmp
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\Kit.exe /c "%TEMP%\self.bat"
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtDeviceIoControlFile, драйвер-обработчик: rasacd.sys
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\qq2.tmp_tmp2
- %TEMP%\self.bat
- %TEMP%\Kit.exe
- %TEMP%\qq2.tmp_tmp
- %TEMP%\qq1.tmp
- %TEMP%\qq2.tmp
- %TEMP%\rasacd.sys_tmp
Удаляет следующие файлы:
- %TEMP%\self.bat
Перемещает следующие файлы:
- <SYSTEM32>\dllcache\rasacd.sys.new в <SYSTEM32>\dllcache\rasacd.sys
- %TEMP%\qq2.tmp в <DRIVERS>\pclide.sys
- %TEMP%\rasacd.sys_tmp в <DRIVERS>\rasacd.sys
Самоудаляется.
Сетевая активность:
Подключается к:
- '<IP-адрес в локальной сети>':5359
