Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\udgwrlu] 'ImagePath' = '%TEMP%\udgwrlu'
- [<HKLM>\SYSTEM\ControlSet001\services\NNdss7Mc] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\services\NNdss7Mc] 'ImagePath' = 'system32\drivers\1GGVl00F.sys'
- [<HKLM>\SYSTEM\ControlSet002\services\NNdss7Mc] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet002\services\NNdss7Mc] 'ImagePath' = 'system32\drivers\1GGVl00F.sys'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="svchost - IPv6 (IPv6-Out)" dir=out action=allow program="<SYSTEM32>\svchost.exe" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="svchost - IPv6 (IPv6-In)" dir=in action=allow program="<SYSTEM32>\svchost.exe" enable=yes
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\udgwrlu
- %WINDIR%\temp\udda1b0.tmp
- <DRIVERS>\1ggvl00f.sys
- %WINDIR%\temp\cabaa9a.tmp
- %WINDIR%\temp\taraa9b.tmp
- %WINDIR%\temp\cabaabb.tmp
- %WINDIR%\temp\taraabc.tmp
- %WINDIR%\temp\cabc058.tmp
- %WINDIR%\temp\tarc059.tmp
Удаляет следующие файлы
- <DRIVERS>\etc\hosts
- %WINDIR%\temp\udda1b0.tmp
- %WINDIR%\temp\cabaa9a.tmp
- %WINDIR%\temp\taraa9b.tmp
- %WINDIR%\temp\cabaabb.tmp
- %WINDIR%\temp\taraabc.tmp
- %WINDIR%\temp\cabc058.tmp
- %WINDIR%\temp\tarc059.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://sa##.xmdlq.com/cs.txt
- http://mt.##dlq.com/
- http://im###.baidu.com/forum/pic/item/574e9258d109b3deee0af47ec3bf6c81800a4c6a.jpg
- http://s9.#nzz.com/z_stat.php?id#############################
- http://c.##zz.com/core.php?we###################
- http://im####.baidu.com/tieba/pic/item/a08b87d6277f9e2f62b48b161030e924b899f32f.jpg
- http://z1#.#nzz.com/stat.htm?id##################################################################################################################################################################...
- http://im####.baidu.com/tieba/pic/item/95eef01f3a292df505583a0bb3315c6034a87311.jpg
- http://im###.baidu.com/tieba/pic/item/63d0f703918fa0ecbee23c332a9759ee3d6ddbe3.jpg
- http://im###.baidu.com/tieba/pic/item/9825bc315c6034a87a3fe1bfc71349540923762a.jpg
- http://im####.baidu.com/tieba/pic/item/64380cd7912397ddc8205e095682b2b7d0a28766.jpg
- http://im####.baidu.com/tieba/pic/item/f9198618367adab44648dd4e84d4b31c8701e427.jpg
- http://im####.baidu.com/tieba/pic/item/267f9e2f0708283808951a19b799a9014c08f127.jpg
Запросы HTTP POST
- http://go.####23424.com:8003/class4.ashx via go.###o23424.com
- http://go.####23424.com:8003/class1.ashx via go.###o23424.com
- http://go.####23424.com:8003/class2.ashx via go.###o23424.com
UDP
- DNS ASK mt.##dlq.com
- DNS ASK sa##.xmdlq.com
- DNS ASK im###.baidu.com
- DNS ASK s9.#nzz.com
- DNS ASK c.##zz.com
- DNS ASK z1#.#nzz.com
- DNS ASK go.###o23424.com
- DNS ASK im####.baidu.com
- DNS ASK ba##u.com
- DNS ASK cs.###faguang.com
Другое
Ищет следующие окна
- ClassName: 'TrayNotifyWnd' WindowName: ''
- ClassName: 'SysPager' WindowName: ''
- ClassName: 'ToolbarWindow32' WindowName: ''
- ClassName: 'NotifyIconOverflowWindow' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c rd "<DRIVERS>\etc0MWWV" /S /Q' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name="svchost - IPv6 (IPv6-In)"' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name="svchost - IPv6 (IPv6-Out)"' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="svchost - IPv6 (IPv6-Out)" dir=out action=allow program="<SYSTEM32>\svchost.exe" enable=yes' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="svchost - IPv6 (IPv6-In)" dir=in action=allow program="<SYSTEM32>\svchost.exe" enable=yes' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c rd "<DRIVERS>\etc0MWWV" /S /Q
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name="svchost - IPv6 (IPv6-In)"
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name="svchost - IPv6 (IPv6-Out)"
