Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\LE5vY5wW7nM6oQ4v] 'ImagePath' = '<SYSTEM32>\G9b2ptW2.sys'
- [<HKLM>\System\CurrentControlSet\Services\wLrbyO9wHul] 'ImagePath' = '<SYSTEM32>\G9b2ptW2.sys'
- [<HKLM>\System\CurrentControlSet\Services\LE5vY5wW7nM6oQ4v] 'ImagePath' = '<SYSTEM32>\dVLJZrCz.sys'
- [<HKLM>\System\CurrentControlSet\Services\NrQMpIuwt6] 'ImagePath' = '<SYSTEM32>\dVLJZrCz.sys'
- [<HKLM>\System\CurrentControlSet\Services\LE5vY5wW7nM6oQ4v] 'ImagePath' = '<SYSTEM32>\DLsbgA3.sys'
- [<HKLM>\System\CurrentControlSet\Services\YH9KRNDg2Kcw] 'ImagePath' = '<SYSTEM32>\DLsbgA3.sys'
- [<HKLM>\System\CurrentControlSet\Services\LE5vY5wW7nM6oQ4v] 'ImagePath' = '<SYSTEM32>\AYtV0LFSx.sys'
- [<HKLM>\System\CurrentControlSet\Services\4oyZmuGVA837] 'ImagePath' = '<SYSTEM32>\AYtV0LFSx.sys'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\conhost.exe
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\] 'WarnonBadCertRecving' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\1gekosd\splwow64.exe
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\8kpdcgzl.cat
- %WINDIR%\temp\uddd29a.tmp
- %WINDIR%\temp\udde6e3.tmp
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\ksrra5b8b.cat
- %WINDIR%\temp\udd79b3.tmp
- %WINDIR%\temp\udd90b8.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\8kpdcgzl.cat
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\ksrra5b8b.cat
Удаляет следующие файлы
- <SYSTEM32>\g9b2ptw2.sys
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\8kpdcgzl.cat
- %WINDIR%\temp\uddd29a.tmp
- <SYSTEM32>\dvljzrcz.sys
- %WINDIR%\temp\udde6e3.tmp
- <SYSTEM32>\dlsbga3.sys
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\ksrra5b8b.cat
- <SYSTEM32>\aytv0lfsx.sys
- %WINDIR%\temp\udd79b3.tmp
- %WINDIR%\temp\udd90b8.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://cd#.#oluobl.cn/api/filegoto/yim_paphcz12329
- http://ap##.#ame.qq.com/comm-htdocs/ip/get_ip.php
- http://cd#.#oluobl.cn/API/General/hm.pub
- http://tu##utd.cn/api/r/hp?in####################################################################################################################################################################...
UDP
- DNS ASK cd#.#oluobl.cn
- DNS ASK vg#ewfp
- DNS ASK ap##.#ame.qq.com
- DNS ASK sp#.#aidu.com
- DNS ASK tu##utd.cn
Другое
Ищет следующие окна
- ClassName: 'ProgMan' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\1gekosd\splwow64.exe'
- '%WINDIR%\syswow64\ipconfig.exe' /flushdns' (со скрытым окном)
- '<SYSTEM32>\ipconfig.exe' /flushdns' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\ipconfig.exe' /flushdns
- '<SYSTEM32>\fsutil.exe'
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<SYSTEM32>\conhost.exe"
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%WINDIR%\explorer.exe"
