Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,<LS_APPDATA>\eyqtaont\mcigkrwk.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MciGkrwk' = '<LS_APPDATA>\eyqtaont\mcigkrwk.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\mcigkrwk.exe
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Micorsoft Windows Service] 'ImagePath' = '%TEMP%\tqgnnosw.sys'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtCreateKey, драйвер-обработчик: tqgnnosw.sys
- NtOpenKey, драйвер-обработчик: tqgnnosw.sys
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ekdbmtyq.exe
- %ALLUSERSPROFILE%\Application Data\bjdwbfvf.log
- <LS_APPDATA>\niuydqre.log
- <LS_APPDATA>\eyqtaont\mcigkrwk.exe
- %TEMP%\tqgnnosw.sys
- %WINDIR%\Temp\6decd52f
- %WINDIR%\Temp\7fffffb1
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Start Menu\Programs\Startup\mcigkrwk.exe
Удаляет следующие файлы:
- %TEMP%\tqgnnosw.sys
Сетевая активность:
Подключается к:
- '74.##5.232.51':80
- 'sa###hunter.com':443
UDP:
- DNS ASK google.com
- DNS ASK xt###hurjk.com
- DNS ASK db#####ohbhckuegu.com
- DNS ASK yl#####vpllovqwm.com
- DNS ASK hv###ppig.com
- DNS ASK dp####ucfiec.com
- DNS ASK vm####qngjqi.com
- DNS ASK qg#####gnslvbywpv.com
- DNS ASK ed####xnoqvkg.com
- DNS ASK sb####mupbsjk.com
- DNS ASK mt#####pbnfklqel.com
- DNS ASK mn#####ljpiivcmwxw.com
- DNS ASK ws#####oyrcmyhymna.com
- DNS ASK ca####vrwptpnq.com
- DNS ASK dk####mlimcerh.com
- DNS ASK vx####mndbwdlh.com
- DNS ASK wo####pwmakrynt.com
- DNS ASK iu###bfjxvw.com
- DNS ASK jd####jihcuk.com
- DNS ASK fp####fisuekk.com
- DNS ASK yt###xta.com
- DNS ASK ti#####nmnptigje.com
- DNS ASK hq###tcv.com
- DNS ASK os###fdbvu.com
- DNS ASK nq####cbrpynvh.com
- DNS ASK kb#####ojfdoufjcjw.com
- DNS ASK wv#####iyjqivdtmfq.com
- DNS ASK io#####hsbqhqiwl.com
- DNS ASK ct#####hntqwltsg.com
- DNS ASK bing.com
- DNS ASK ue#####acktsvcunoh.com
- DNS ASK bh####otwosh.com
- DNS ASK xa###abf.com
- DNS ASK tn####qcplpmyr.com
- DNS ASK sa###hunter.com
- DNS ASK yf####qbsnghyln.com
- DNS ASK ty###wnkq.com
- DNS ASK ev###pofko.com
- DNS ASK hs###plirk.com
- DNS ASK kt####sckypuxwq.com
- DNS ASK ee###vadm.com
- DNS ASK sr####tydkmgvrp.com
- DNS ASK wa#####rfsvfomse.com
- DNS ASK av#####blpliagjma.com
- DNS ASK hv#####frskcivax.com
- DNS ASK bq###ulm.com
- DNS ASK pe###piltvr.com
- DNS ASK eu####mndmkklho.com
- DNS ASK fj###uwl.com
- DNS ASK rw###rwo.com
- DNS ASK eg#####krexhkxjuyu.com
- DNS ASK vy###vxgj.com
- DNS ASK uc###utcvsi.com
- DNS ASK jq####fwbicx.com
- DNS ASK ht#####rekiobxxyoy.com
- DNS ASK da###isp.com
- DNS ASK jb####niewkkdbv.com
- DNS ASK fw#####pivbagijwrd.com
- DNS ASK cl#####vfjagolwifam.com
- DNS ASK mj###ufp.com
- DNS ASK bq#####sanfwqlgkws.com
- DNS ASK ms####xrowicgf.com
- DNS ASK ch####kswlax.com
- DNS ASK or#####tqgppnmwyhkv.com
- DNS ASK pg###woure.com
Другое:
Создает и запускает на исполнение:
- '%TEMP%\ekdbmtyq.exe' elevate
- '%TEMP%\ekdbmtyq.exe' admin
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
- '<SYSTEM32>\cmd.exe' /C ""%TEMP%\ekdbmtyq.exe"" admin
