Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- 财子pc28iq2.dll
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\pc28.dll
- <Текущая директория>\iq1.1.2.0.zip7
- <Текущая директория>\iq.exe
- <Текущая директория>\iq3.1.4.2.zip7
- <Текущая директория>\iq3.exe
- <Текущая директория>\gzh2.3.3.3.zip7
- <Текущая директория>\gzh.exe
- <Текущая директория>\pc28游戏助手.exe
- %APPDATA%\microsofta\iemain.dll
- <Текущая директория>\pc28iq3.0.6.1.zip7
- <Текущая директория>\pc28iq.mdb
- <Текущая директория>\db.mdb
- %APPDATA%\winrara\winrar.dll
- <Текущая директория>\改分木马清理程序.exe
- %APPDATA%\winrara\pc001.dll
- <Текущая директория>\aq3.dll
- <Текущая директория>\helper1.0.9.0.zip7
- <Текущая директория>\aq3.2.7.0.zip7
- <Текущая директория>\sound\封群提醒.wav
- <Текущая директория>\财子pc28iq2.dll
- %WINDIR%\pc28qq.ini
- %TEMP%\d_script
- %TEMP%\gethdid.cmd
- %TEMP%\d_out
- <Текущая директория>\sound\封盘失败.wav
- <Текущая директория>\sound\警报1.wav
- <Текущая директория>\aq2.8.0.0.zip7
- <Текущая директория>\sound\警报3.wav
- <Текущая директория>\sound\老版查钱.wav
- <Текущая директория>\ecdh.dll
- <Текущая директория>\gzip.dll
- <Текущая директория>\zlib.dll
- <Текущая директория>\libeay32.dll
- <Текущая директория>\aq.dll
- %APPDATA%\winrara\autoright.dll
Удаляет следующие файлы
- <Текущая директория>\pc28.dll
- %TEMP%\d_script
- %TEMP%\gethdid.cmd
- %TEMP%\d_out
- <Текущая директория>\aq2.8.0.0.zip7
- <Текущая директория>\aq3.2.7.0.zip7
- <Текущая директория>\iq1.1.2.0.zip7
- <Текущая директория>\iq3.1.4.2.zip7
- <Текущая директория>\gzh2.3.3.3.zip7
- <Текущая директория>\helper1.0.9.0.zip7
- <Текущая директория>\pc28iq3.0.6.1.zip7
- %APPDATA%\winrara\autoright.dll
Перемещает следующие файлы
- %APPDATA%\winrara\pc001.dll в %APPDATA%\winrara\winrar.dll
- %APPDATA%\microsofta\iemain.dll в %APPDATA%\microsofta\winrar.dll
Подменяет следующие исполняемые файлы
- <Полный путь к файлу>
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://g.#m.im/exe/FileList.json
- http://g.#m.im/exe/IEMain.dll
- http://g.#m.im/exe/AssistList.json
- http://g.#m.im/pc28/down/antisteal.dll
- http://g.#m.im/pc28/down/pc001.dll
- http://g.#m.im/pc28/down/db.mdb
- http://g.#m.im/pc28/down/pc28iQ3.0.6.1.zip7
- http://g.#m.im/pc28/down/Helper1.0.9.0.zip7
- http://g.#m.im/pc28/down/GZH2.3.3.3.zip7
- http://g.#m.im/pc28/down/iQ3.1.4.2.zip7
- http://g.#m.im/pc28/down/iQ1.1.2.0.zip7
- http://g.#m.im/pc28/down/AQ3.2.7.0.zip7
- http://g.#m.im/pc28/down/AQ2.8.0.0.zip7
- http://g.#m.im/pc28/down/libeay32.dll
- http://g.#m.im/pc28/down/zlib.dll
- http://g.#m.im/pc28/down/gzip.dll
- http://g.#m.im/pc28/down/ECDH.dll
- http://g.#m.im/pc28/down/%E8%80%81%E7%89%88%E6%9F%A5%E9%92%B1.wav
- http://g.#m.im/pc28/down/%E8%AD%A6%E6%8A%A53.wav
- http://g.#m.im/pc28/down/%E8%AD%A6%E6%8A%A51.wav
- http://g.#m.im/pc28/down/%E5%B0%81%E7%BE%A4%E6%8F%90%E9%86%92.wav
- http://g.#m.im/pc28/down/%E5%B0%81%E7%9B%98%E5%A4%B1%E8%B4%A5.wav
- http://g.#m.im/exe/update.json
- http://g.#m.im/exe/AutoRight.dll
UDP
- DNS ASK g.#m.im
- DNS ASK f.#m.im
- DNS ASK a.##m7.com
- DNS ASK ml##.vike.me
Другое
Ищет следующие окна
- ClassName: 'PC28iQStartForm2018' WindowName: ''
- ClassName: 'PC28PC_MainForm' WindowName: ''
- ClassName: 'PC28iQHostForm2018' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\财子pc28iq2.dll'
- '<Текущая директория>\改分木马清理程序.exe'
- '%APPDATA%\microsofta\winrar.dll'
- '%APPDATA%\winrara\winrar.dll'
- '%APPDATA%\winrara\autoright.dll' temp
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\gethdid.cmd' (со скрытым окном)
- '%APPDATA%\microsofta\winrar.dll' ' (со скрытым окном)
- '%APPDATA%\winrara\winrar.dll' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\gethdid.cmd
- '%WINDIR%\syswow64\diskpart.exe' /s "%TEMP%\d_script"
- '<SYSTEM32>\vds.exe'
