Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c...
- [<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c...
- [<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c...
- [<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c...
- [<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c...
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\7B64FE51] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\7B64FE51] 'ImagePath' = '<DRIVERS>\7B64FE51.sys'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\çà òâ.dll
- %WINDIR%\syswow64\espi11.dll
- %TEMP%\a.exe
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\jqr[1].exe
- %TEMP%\jqr.exe
- %TEMP%\inst1.exe
- <DRIVERS>\7b64fe51.sys
- %WINDIR%\temp\txsvas01.tmp
- %TEMP%\test.exe
- %WINDIR%\temp\udde9f9.tmp
- <LS_APPDATA>\microsoft\windows\history\history.ie5\mshist012019071720190718\index.dat
- %TEMP%\2345explorer_38841337311_y_silence.exe
- %APPDATA%\microsoft\windows\cookies\user@baidu[1].txt
- %APPDATA%\microsoft\windows\cookies\user@xiaoxuanzy[1].txt
- %APPDATA%\microsoft\windows\cookies\user@www.xiaoxuanzy[1].txt
- %APPDATA%\microsoft\windows\cookies\user@mmstat[1].txt
Удаляет следующие файлы
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\jqr[1].exe
- %WINDIR%\temp\udde9f9.tmp
- %TEMP%\inst1.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://my########.oss-cn-hangzhou.aliyuncs.com/a.exe
- http://my########.oss-cn-hangzhou.aliyuncs.com/jqr.exe
- http://nt.##fakala.xyz/
- http://do####ad.2345.com/union_common/2345explorer_38841337311_Y_silence.exe
- http://nt.##fakala.xyz/favicon.ico
- http://oc##.dcocsp.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRJrF0xYA49jC3D83fgDGesaUkzIQQUf9OZ86BHDjEAVlYijrfMnt3KAYoCEAQEg%2BLaUyTajC%2FV3CmGd0w%3D
- http://www.xi###uanzy.com/
- http://oc##.dcocsp.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBR3enuod9bxDxzpICGW%2B2sabjf17QQUkFj%2FsJx1qFFUd7Ht8qNDFjiebMUCEAlAQ3d5MZa0q2GxdKVi5B8%3D
- http://www.ba##u.com/search/error.html
UDP
- DNS ASK my########.oss-cn-hangzhou.aliyuncs.com
- DNS ASK js######rt.ssl.qhimg.com
- DNS ASK zz.##static.com
- DNS ASK on###e.cnzz.com
- DNS ASK cn##.mmstat.com
- DNS ASK c.##zz.com
- DNS ASK z8.#nzz.com
- DNS ASK s1#.#nzz.com
- DNS ASK sp#.#aidu.com
- DNS ASK 0d#######74d8.cdn.sohucs.com
- DNS ASK cy####.kuaizhan.com
- DNS ASK li##.baidu.com
- DNS ASK oc##.dcocsp.cn
- DNS ASK nt.##fakala.xyz
- DNS ASK do####ad.2345.com
- DNS ASK xu#.##login2.qq.com
- DNS ASK xi###uanzy.com
- DNS ASK xi###eizy.com
- DNS ASK ba##u.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'Microsoft Internet Explorer'
- ClassName: 'DDEMLMom' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\jqr.exe'
- '%TEMP%\inst1.exe'
- '%TEMP%\test.exe'
- '%TEMP%\jqr.exe' ' (со скрытым окном)
- '%TEMP%\inst1.exe' ' (со скрытым окном)
- '%TEMP%\test.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del %TEMP%\inst1.exe > nul' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c del %TEMP%\inst1.exe > nul
