Техническая информация
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '<DNS_SERVER>'
- Изменяет DNS-сервер на '114.114.114.114'
Внедряет код в
следующие пользовательские процессы:
- AF41B4981C.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\<Имя файла>.lnk
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\profile_5671028816[1].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\profile_5671028816[1].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\qoshfc_bos[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\qoshfc_bos[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\blog_1520508500102wnfh[1].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\blog_1520508500102wnfh[1].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\mengfanqi6798[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\shoufeiban.idcjjj[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\mengfanqi6798[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\mengfanqi6798[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\speak[1].txt
- <Текущая директория>\vc8tmp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\vc8[1]
- C:\kss.ini
- <Текущая директория>\config\Tfile\nine\52A5Pa2Rt.dll
- <Текущая директория>\config\Tfile\ten\2745rbZOL.dll
- <Текущая директория>\config\Tfile\eight\B4AacRGx.dll
- <Текущая директория>\config\Tfile\fives\CD43KPE2k.dll
- <Текущая директория>\config\Tfile\sixs\21B6DzodL.dll
- <Текущая директория>\config\Tfile\sixteen\585AqiCb5.dll
- <Текущая директория>\config\Tfile\seventeen\53D2DxRuK.dll
- <Текущая директория>\config\Tfile\eighteen\F5ECHQsNv.dll
- <Текущая директория>\config\Tfile\nineteen\399EYdCeD.dll
- <Текущая директория>\config\Tfile\fifteens\BE26nmLtM.dll
- <Текущая директория>\config\plugins\2C51wYwVx.dll
- <Текущая директория>\config\vc6
- %ProgramFiles%\AF41B4981C.exe
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\profile[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\profile[1]
Удаляет следующие файлы:
- <DRIVERS>\etc\hosts
- <Текущая директория>\vc8tmp
Сетевая активность:
Подключается к:
- 'si###loud.net':80
- 'localhost':1039
- 'si###torage.cn':443
- 'si###torage.cn':80
- 'si###loud.net':443
- 'mj##9.com':8801
- '12#.#25.114.144':443
- 't.##.com':80
- 'wu##.#antongji.com':8080
- 'sh#####ban.idcjjj.com':80
- 'bl##.#ina.com.cn':80
- 'la##ous.com':443
- 'bl##.csdn.net':80
- 'bl##.163.com':80
TCP:
Запросы HTTP GET:
- http://si###loud.net/yun2016/vc8
- http://si###torage.cn/yun2016/speak.txt
- http://t.##.com/mengfanqi6798
- http://sh#####ban.idcjjj.com/
- http://bl##.#ina.com.cn/s/blog_1520508500102wnfh.html
- http://bl##.csdn.net/qoshfc_bos
- http://bl##.#ina.com.cn/s/profile_5671028816.html
- http://bl##.163.com/molly_ybcrd/profile
UDP:
- DNS ASK si###loud.net
- DNS ASK si###torage.cn
- DNS ASK www.mj##9.com
- DNS ASK www.ba##u.com
- DNS ASK t.##.com
- DNS ASK wu##.#antongji.com
- DNS ASK sh#####ban.idcjjj.com
- DNS ASK bl##.#ina.com.cn
- DNS ASK www.la##ous.com
- DNS ASK bl##.csdn.net
- DNS ASK bl##.163.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
Создает и запускает на исполнение:
- '%ProgramFiles%\AF41B4981C.exe' <Полный путь к файлу>
Запускает на исполнение:
- '<SYSTEM32>\ipconfig.exe' /flushdns
