Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HelpPane' = '%TEMP%\lu.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'HelpPane' = '%TEMP%\lu.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\ombuq\Kuaizip_Setup_7654_1056939.exe' (загружен из сети Интернет)
- '%TEMP%\ombuq\HNInstall_Setup_1690160397_7654_56939.exe' (загружен из сети Интернет)
- '%TEMP%\ombuq\V9._87931_20170114151847.exe' (загружен из сети Интернет)
- '%TEMP%\ombuq\as3550015.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '%TEMP%\lsass.exe'
- '%TEMP%\ombuq\Kuaizip_Setup_7654_1056939.exe' -jingmo
- '%TEMP%\ombuq\HNInstall_Setup_1690160397_7654_56939.exe'
- '%TEMP%\ombuq\as3550015.exe'
- '%TEMP%\ombuq\V9._87931_20170114151847.exe'
- '%TEMP%\lu.exe'
- '%TEMP%\HelpPane.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\system\kuai.txt
- %TEMP%\ombuq\Kuaizip_Setup_7654_1056939.exe
- %WINDIR%\system\xhjsb.txt
- %TEMP%\ombuq\HNInstall_Setup_1690160397_7654_56939.exe
- %WINDIR%\inf\b
- %TEMP%\ombuq\V9._87931_20170114151847.exe
- %TEMP%\ombuq\as3550015.exe
- %WINDIR%\system\qqllq.txt
Перемещает следующие файлы:
- %TEMP%\HelpPane.exe в %TEMP%\255796\...\TemporaryFile
- %TEMP%\HelpPane.exe в %TEMP%\276390\...\TemporaryFile
- %TEMP%\HelpPane.exe в %TEMP%\296890\...\TemporaryFile
- %TEMP%\HelpPane.exe в %TEMP%\235328\...\TemporaryFile
- %TEMP%\HelpPane.exe в %TEMP%\189609\...\TemporaryFile
- %TEMP%\HelpPane.exe в %TEMP%\214390\...\TemporaryFile
- %TEMP%\lsass.exe в %TEMP%\221187\...\TemporaryFile
Подменяет следующие исполняемые файлы:
- <Полный путь к файлу>
Подменяет следующие файлы:
- %TEMP%\lsass.exe
- %TEMP%\HelpPane.exe
Самоперемещается:
- из <Полный путь к файлу> в %TEMP%\180171\...\TemporaryFile
Сетевая активность:
Подключается к:
- 'dl.###chihuo.com':8800
- 'localhost':1044
- 'd.###note.com':80
- 'dl.##rjxz.com':80
- '12##.ip138.com':80
- 'mi##.wcd.qq.com':80
- 'dl.#kiki.cn':80
- 'ab#.#h2w.com':80
TCP:
Запросы HTTP GET:
- http://dl.#kiki.cn/dl/approval/as3550015.exe
- http://dl.##rjxz.com/downloads/special/kyzipx/Kuaizip_Setup_7654_1056939.exe
- http://d.###note.com/downloads/7654/HNInstall_Setup_1690160397_7654_56939.exe
- http://mi##.wcd.qq.com/app?pa#####################################
- http://12##.ip138.com/ic.asp
- http://ab#.#h2w.com/bbb.jpg
UDP:
- DNS ASK dl.###chihuo.com
- DNS ASK dl.##rjxz.com
- DNS ASK d.###note.com
- DNS ASK dl.#kiki.cn
- DNS ASK mi##.wcd.qq.com
- DNS ASK 12##.ip138.com
- DNS ASK ab#.#h2w.com
