Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\2B044TEZxP] 'ImagePath' = '%WINDIR%\2B044TEZxP.sys'
- [<HKLM>\SYSTEM\ControlSet001\Services\63FFyiM6V] 'Start' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\63FFyiM6V] 'ImagePath' = '<SYSTEM32>\63FFyiM6V.sys'
- [<HKLM>\SYSTEM\ControlSet001\Services\63FFyiM6V] 'Start' = '00000000'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '<DNS_SERVER>'
- Изменяет DNS-сервер на '114.114.114.114'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\<Имя файла>.lnk
- <Текущая директория>\config\Afile\sixteen\4D14pL3e6.dll
- <Текущая директория>\config\Afile\fourteen\28D1oqd5c.dll
- <Текущая директория>\config\Afile\thirteen\2B9CIkfCe.dll
- <Текущая директория>\config\Afile\twelve\F4D0XMkDf.dll
- <Текущая директория>\config\Afile\eleven\5D3Au4ra2.dll
- <Текущая директория>\config\Afile\ten\3EC9rKJtI.dll
- <Текущая директория>\config\Afile\nine\2D37VACmF.dll
- <Текущая директория>\config\Afile\eight\64FF51Edx.dll
- <SYSTEM32>\63FFyiM6V.sys
- <Текущая директория>\config\Afile\six\688ASI0b3.dll
- <Текущая директория>\config\Afile\three\3336pSqJl.dll
- <Текущая директория>\config\Afile\five\A021PQCeH.dll
- <Текущая директория>\config\Afile\four\4A8F5xyU0.dll
- <Текущая директория>\config\Afile\one\4D2ByREsT.dll
- <Текущая директория>\config\Afile\seventeen\86208TKuN.dll
- <Текущая директория>\config\Afile\fifteen\6440vyKNp.dll
- <Текущая директория>\config\plugins\5477TzuRx.dll
- <Текущая директория>\config\vc5
- <Текущая директория>\config\Afile\seven\D961X3mFl.dll
- <DRIVERS>\0TigsxHt.sys
Удаляет следующие файлы:
- <SYSTEM32>\63FFyiM6V.sys
Сетевая активность:
Подключается к:
- 'si###torage.com':80
- 'bl##.tianya.cn':80
- '12#.#25.114.144':80
- '52.##05210.com':8080
- 'my.##years.com':80
- '10#.#01.172.229':80
- 'ha####.8090cqg.com':80
- 'bl##.163.com':80
- 'bl##.csdn.net':80
- 'si###loud.net':80
- 'pa#.#anzou.com':443
- 'bl##.#ina.com.cn':80
- 'si###torage.cn':80
- 't.##.com':80
- 'pa#.#g798.com':80
- 'mf.##90cqg.com':80
- 'localhost':1043
- '12#.#25.114.144':443
- 'tj.##zokan.com':8080
- 'localhost':1039
- 'ab#.#plxy.com':8080
- '12#.#78lv.com':8080
TCP:
Запросы HTTP GET:
- http://si###torage.com/yun2016/Atshz.txt
- http://my.##years.com/xinlistj.rar
- http://bl##.csdn.net/as33123a213d43/article/details/53888514
- http://t.##.com/asdasd32018
- http://bl##.tianya.cn/post-7470385-122269963-1.shtml
- http://t.##.com/mengfan4008
- http://www.ba##u.com/p/��ȫ��ɫ���ذ�/detail via 12#.#25.114.144
- http://my.##years.com/data.php?t=#####
- http://ha####.8090cqg.com/hh.txt
- http://my.##years.com/listh.rar
- http://si###loud.net/yun2016/speak.txt
- http://bl##.#ina.com.cn/s/profile_5671028816.html
- http://bl##.csdn.net/qoshfc_bos
- http://si###loud.net/yun2016/Atshz.txt
- http://bl##.#ina.com.cn/s/blog_1520508500102wnfh.html
- http://si###torage.cn/yun2016/Atshz.txt
- http://t.##.com/mengfanqi6798
- http://pa#.#g798.com/
- http://mf.##90cqg.com/
- http://bl##.163.com/molly_ybcrd/profile
- http://my.##years.com/md5exe.rar
UDP:
- DNS ASK si###torage.com
- DNS ASK si###loud.net
- DNS ASK ha####.8090cqg.com
- DNS ASK bl##.163.com
- DNS ASK pa#.#anzou.com
- DNS ASK bl##.#ina.com.cn
- DNS ASK bl##.csdn.net
- DNS ASK t.##.com
- DNS ASK pa#.#g798.com
- DNS ASK www.ba##u.com
- DNS ASK tj.##zokan.com
- DNS ASK si###torage.cn
- DNS ASK mf.##90cqg.com
- '<DNS_SERVER>':1084
- '<DNS_SERVER>':1081
- '<DNS_SERVER>':1076
- '<DNS_SERVER>':1092
- '<DNS_SERVER>':1088
- '<DNS_SERVER>':1086
- '<DNS_SERVER>':1079
- '<DNS_SERVER>':1057
- '<DNS_SERVER>':1073
- '<DNS_SERVER>':1067
- '<DNS_SERVER>':1064
- '<DNS_SERVER>':1062
- '<DNS_SERVER>':1096
- '<DNS_SERVER>':1060
- '<DNS_SERVER>':1070
- '<DNS_SERVER>':1094
- '<DNS_SERVER>':1100
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
Запускает на исполнение:
- '%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' -nohome
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\reg.exe' delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\2B044TEZxP /f
