Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\clr_optimization_v3.0.50727_64] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\clr_optimization_v3.0.50727_64] 'ImagePath' = '%WINDIR%\Microsoft.NET\Framework\mscorsvws.exe'
- [<HKLM>\System\CurrentControlSet\Services\WinHelpSvcs] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\WinHelpSvcs] 'ImagePath' = '%WINDIR%\Help\HelpSvc.exe'
- [<HKLM>\System\CurrentControlSet\Services\Protect_Proccess] 'ImagePath' = '%TEMP%\Protect_Proccess'
- [<HKLM>\System\CurrentControlSet\Services\PolicyAgent] 'Start' = '00000002'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %PROGRAMDATA%\tqo.exe
- %PROGRAMDATA%\ms19.exe
- %WINDIR%\cursors\trustedinsteller.exe
- %WINDIR%\help\active_desktop_render.dll
- %WINDIR%\help\winlogon.exe
- %WINDIR%\help\helpsvc.exe
- %PROGRAMDATA%\x64.exe
- %PROGRAMDATA%\ms18.exe
- %PROGRAMDATA%\windows\system32\tapi3.dll
- %PROGRAMDATA%\output.tlb
- %PROGRAMDATA%\aaaaaaaaaaaaaaaaaaaaaaaaaaaaa
- %PROGRAMDATA%\run.sct
- %PROGRAMDATA%\ms17.exe
- %PROGRAMDATA%\ms15.exe
- %WINDIR%\microsoft.net\framework\etcomm_new.dll
- %WINDIR%\mpmgsvc.dll
- %WINDIR%\microsoft.net\framework\etcomm.dll
- %WINDIR%\microsoft.net\framework\aspnet_wp.exe
- %WINDIR%\microsoft.net\framework\mscorsvws.exe
- %PROGRAMDATA%\mssqls.exe
- %WINDIR%\help\active_desktop_render_new.dll
- %TEMP%\protect_proccess
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\microsoft.net\framework\mscorsvws.exe
- %WINDIR%\microsoft.net\framework\aspnet_wp.exe
- %WINDIR%\microsoft.net\framework\etcomm.dll
- %WINDIR%\help\helpsvc.exe
Удаляет следующие файлы
- %PROGRAMDATA%\windows\system32\tapi3.dll
- %PROGRAMDATA%\run.sct
- %PROGRAMDATA%\output.tlb
- %WINDIR%\microsoft.net\framework\etcomm
- %WINDIR%\help\active_desktop_render.dll
- %PROGRAMDATA%\ms15.exe
- %PROGRAMDATA%\ms17.exe
- %PROGRAMDATA%\ms18.exe
- %PROGRAMDATA%\ms19.exe
- %TEMP%\protect_proccess
Перемещает следующие файлы
- %WINDIR%\microsoft.net\framework\etcomm.dll в %WINDIR%\microsoft.net\framework\etcomm
Подменяет следующие файлы
- %WINDIR%\microsoft.net\framework\etcomm.dll
- %WINDIR%\microsoft.net\framework\etcomm_new.dll
- %WINDIR%\microsoft.net\framework\etcomm
- %WINDIR%\help\active_desktop_render.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://sq#.#i7i.com/TQ.exe
- http://sq#.#i7i.com/MSSQL.exe
- http://4i##.com/11.exe
UDP
- DNS ASK sq#.#i7i.com
- DNS ASK 4i##.com
- DNS ASK po##.#sa-138.com
Другое
Создает и запускает на исполнение
- '%PROGRAMDATA%\tqo.exe'
- '%PROGRAMDATA%\ms17.exe' 1
- '%WINDIR%\cursors\trustedinsteller.exe' -a cryptonight -o stratum+tcp://pool.usa-138.com:80 -u 4B7yFmYw2qvEtWZDDnZVeY16HHpwTtuYBg6EMn5xdDbM3ggSEnQFDWDHH6cqdEYaPx4iQvAwLNu8NLc21QxDU84GGxZEY7S -p x
- '%PROGRAMDATA%\x64.exe'
- '%PROGRAMDATA%\ms18.exe' MSSQLS.exe
- '%WINDIR%\help\winlogon.exe'
- '%PROGRAMDATA%\ms19.exe' -l 6666 -p MSSQLS.exe -t *
- '%PROGRAMDATA%\ms15.exe' MSSQLS.exe
- '%PROGRAMDATA%\mssqls.exe'
- '%PROGRAMDATA%\ms17.exe'
- '%WINDIR%\microsoft.net\framework\aspnet_wp.exe'
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=135 protocol=UDP' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filteraction name=FilteraAtion1 action=block' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=445 protocol=UDP' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filterlist name=Filter1' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=139 protocol=UDP' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=139 protocol=TCP' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=445 protocol=TCP' (со скрытым окном)
- '%PROGRAMDATA%\x64.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static add rule name=Rule1 policy=Block filterlist=Filter1 filteraction=FilteraAtion1' (со скрытым окном)
- '%WINDIR%\help\winlogon.exe' ' (со скрытым окном)
- '%PROGRAMDATA%\mssqls.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=135 protocol=TCP' (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' %WINDIR%\Fonts\*.exe /e /d system' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static add policy name=Block' (со скрытым окном)
- '%WINDIR%\cursors\trustedinsteller.exe' -a cryptonight -o stratum+tcp://pool.usa-138.com:80 -u 4B7yFmYw2qvEtWZDDnZVeY16HHpwTtuYBg6EMn5xdDbM3ggSEnQFDWDHH6cqdEYaPx4iQvAwLNu8NLc21QxDU84GGxZEY7S -p x' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static set policy name=Block assign=y' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe'
- '%WINDIR%\syswow64\cacls.exe' %WINDIR%\Fonts\*.exe /e /d system
- '%WINDIR%\syswow64\netsh.exe' ipsec static add policy name=Block
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 2 "%PROGRAMDATA%\ms19.exe"
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filterlist name=Filter1
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=135 protocol=TCP
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=135 protocol=UDP
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=139 protocol=TCP
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=139 protocol=UDP
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=445 protocol=TCP
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filter filterlist=Filter1 srcaddr=any dstaddr=Me dstport=445 protocol=UDP
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filteraction name=FilteraAtion1 action=block
- '%WINDIR%\syswow64\netsh.exe' ipsec static add rule name=Rule1 policy=Block filterlist=Filter1 filteraction=FilteraAtion1
- '%WINDIR%\syswow64\netsh.exe' ipsec static set policy name=Block assign=y
