Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'HBService32' = 'System.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] '{A6F2F043-6A32-4D44-9ED4-E271B523F912}' = ''
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'A6F2F043' = '{A6F2F043-6A32-4D44-9ED4-E271B523F912}'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = 'A6F2F043.dll'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = 'A6F2F043.dll qanhllao.dll'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = 'A6F2F043.dll qanhllao.dll craoe.dll'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = 'A6F2F043.dll qanhllao.dll craoe.dll,HBQQSG.dll,HBQQXX.dll,HBXMJ.dll'
Вредоносные функции
Ищет следующие окна с целью
обнаружения различных программ и игр:
- ClassName: 'AskTao', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\ctfm0m.exe
- %WINDIR%\syswow64\craoek.exe
- %WINDIR%\syswow64\craoe.dll
- %WINDIR%\syswow64\qanhllao.dll
- %WINDIR%\syswow64\hbxmj.dll
- %TEMP%\wowinitcode.dat
- %WINDIR%\syswow64\a6f2f043.dll
- %WINDIR%\syswow64\jwptlp0211.exe
- %WINDIR%\syswow64\cifn0n.exe
- %WINDIR%\syswow64\ctfn0m.exe
- %WINDIR%\syswow64\cifn0m.exe
- %WINDIR%\syswow64\cifn0n.exe.bat
- %WINDIR%\syswow64\hbqqsg.dll
- %TEMP%\selfdel.bat
- %WINDIR%\syswow64\ctfn0n.exe
- %WINDIR%\syswow64\system.exe
- %WINDIR%\syswow64\hbqqxx.dll
- %WINDIR%\syswow64\ctfnom.exe
- %WINDIR%\syswow64\cifnom.exe
- %TEMP%\b.bat
- %WINDIR%\syswow64\cifnon.exe
- %WINDIR%\syswow64\cifm0n.exe
- %WINDIR%\syswow64\ctfmom.exe
- %WINDIR%\syswow64\ctfnon.exe
- %WINDIR%\syswow64\ctfn0m.exe.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\wowinitcode.dat
Удаляет следующие файлы
- %WINDIR%\syswow64\ctfm0m.exe
- %WINDIR%\syswow64\cifn0m.exe
- %WINDIR%\syswow64\ctfnom.exe
- %WINDIR%\syswow64\cifm0n.exe
- %WINDIR%\syswow64\ctfnon.exe
- %WINDIR%\syswow64\cifn0n.exe
- %WINDIR%\syswow64\ctfn0m.exe
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: 'Program Manager'
- ClassName: 'WSGAME' WindowName: ''
- ClassName: '*GodClass*' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\ctfm0m.exe'
- '%WINDIR%\syswow64\ctfn0n.exe'
- '%WINDIR%\syswow64\craoek.exe' ˜‰
- '%WINDIR%\syswow64\jwptlp0211.exe'
- '%WINDIR%\syswow64\ctfn0m.exe'
- '%WINDIR%\syswow64\ctfnon.exe'
- '%WINDIR%\syswow64\cifnon.exe'
- '%WINDIR%\syswow64\cifn0n.exe'
- '%WINDIR%\syswow64\ctfnom.exe'
- '%WINDIR%\syswow64\cifnom.exe'
- '%WINDIR%\syswow64\cifm0n.exe'
- '%WINDIR%\syswow64\ctfmom.exe'
- '%WINDIR%\syswow64\system.exe'
- '%WINDIR%\syswow64\cifn0m.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\SelfDel.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\craoek.exe' ˜‰' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysWOW64\CIFN0N.exe.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\b.bat "%WINDIR%\SysWOW64\CTFM0M.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\b.bat "%WINDIR%\SysWOW64\CTFNON.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\b.bat "%WINDIR%\SysWOW64\CIFM0N.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\b.bat "%WINDIR%\SysWOW64\CIFN0M.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysWOW64\CTFN0M.exe.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\b.bat "%WINDIR%\SysWOW64\CTFM0M.exe"
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\b.bat "%WINDIR%\SysWOW64\CTFNON.exe"
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\b.bat "%WINDIR%\SysWOW64\CIFM0N.exe"
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\b.bat "%WINDIR%\SysWOW64\CIFN0M.exe"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\SelfDel.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysWOW64\CIFN0N.exe.bat
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysWOW64\CTFN0M.exe.bat
