Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\hklzt] 'Start' = '00000002'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\rasacd.sys файлом %TEMP%\qq2.tmp_tmp2
- <DRIVERS>\rasacd.sys файлом %TEMP%\qq2.tmp_tmp
Вредоносные функции:
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtDeviceIoControlFile, драйвер-обработчик: rasacd.sys
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\qq2.tmp_tmp
- %TEMP%\qq2.tmp_tmp2
- %TEMP%\rasacd.sys_tmp
- %TEMP%\qq1.tmp
- %TEMP%\qq2.tmp
Перемещает следующие файлы:
- %TEMP%\qq2.tmp в <DRIVERS>\hklzt.sys
- <SYSTEM32>\dllcache\rasacd.sys.new в <SYSTEM32>\dllcache\rasacd.sys
- %TEMP%\qq1.tmp в <SYSTEM32>\dllcache\Esk_Server_Dll.dll
- %TEMP%\rasacd.sys_tmp в <DRIVERS>\rasacd.sys
Сетевая активность:
Подключается к:
- '<IP-адрес в локальной сети>':5357
