Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'system' = '<SYSTEM32>\system.exe'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\aav] 'ImagePath' = '%ProgramFiles%\AAV\CDriver.sys'
Создает следующие сервисы
- 'aav' %ProgramFiles%\\AAV\\CDriver.sys
- 'aav' %ProgramFiles%\AAV\CDriver.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Межсетевой экран (Брандмауэр Windows)
- Системный антивирус (Защитник Windows)
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop WinDefend
- '%WINDIR%\syswow64\net.exe' stop MpsSvc
Внедряет код в
следующие пользовательские процессы:
- system.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\system.exe
- %WINDIR%\syswow64\iiujrl.dll
- %ProgramFiles%\aav\cdriver.sys
- %WINDIR%\temp\udd63b2.tmp
- %WINDIR%\syswow64\onuqsl.dll
- %TEMP%\7732.tmp
Удаляет следующие файлы
- %WINDIR%\temp\udd63b2.tmp
- %ProgramFiles%\aav\cdriver.sys
Перемещает следующие файлы
- %WINDIR%\syswow64\system.exe в %WINDIR%\syswow64\system.exe
Подменяет следующие исполняемые файлы
- <Полный путь к файлу>
Самоперемещается
- из <Полный путь к файлу> в <Полный путь к файлу>t
Сетевая активность
UDP
- DNS ASK tr###.d2v8k.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'MiniSniffer'
Создает и запускает на исполнение
- '%WINDIR%\syswow64\system.exe'
- '%WINDIR%\syswow64\system.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' stop WinDefend' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' stop MpsSvc' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' config WinDefend start= disabled' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' config MpsSvc start= disabled' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop ZhuDongFangYu' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete ZhuDongFangYu' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop 360rp' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete 360rp' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop PolicyAgent' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\onuqsl.dll Exucute' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\iiujrl.dll Exxcute
- '%WINDIR%\syswow64\sc.exe' config WinDefend start= disabled
- '%WINDIR%\syswow64\sc.exe' config MpsSvc start= disabled
- '%WINDIR%\syswow64\net1.exe' stop MpsSvc
- '%WINDIR%\syswow64\net1.exe' stop WinDefend
- '%WINDIR%\syswow64\sc.exe' stop ZhuDongFangYu
- '%WINDIR%\syswow64\sc.exe' delete ZhuDongFangYu
- '%WINDIR%\syswow64\sc.exe' stop 360rp
- '%WINDIR%\syswow64\sc.exe' delete 360rp
- '%WINDIR%\syswow64\sc.exe' stop PolicyAgent
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\onuqsl.dll Exucute
