Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\UPDATEDATA] 'ImagePath' = '<DRIVERS>\acpiec.sys'
- [<HKLM>\System\CurrentControlSet\Services\pcidump] 'ImagePath' = 'System32\DRIVERS\pcidump.sys'
Создает следующие сервисы
- 'UPDATEDATA' <DRIVERS>\acpiec.sys
- 'pcidump' System32\DRIVERS\pcidump.sys
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\1.exe
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im ScanFrm.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im egui.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im ekrn.exe /f
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\func.dll
- %WINDIR%\syswow64\drivers\acpiec.sys
- %WINDIR%\phpi.dll
- %WINDIR%\syswow64\drivers\pcidump.sys
- C:\1.exe
- C:\autorun.inf
- D:\1.exe
- D:\autorun.inf
Присваивает атрибут 'скрытый' для следующих файлов
- C:\1.exe
- C:\autorun.inf
- D:\1.exe
- D:\autorun.inf
- <Имя диска съемного носителя>:\1.exe
- <Имя диска съемного носителя>:\autorun.inf
Изменяет файл HOSTS.
Сетевая активность
TCP
Запросы HTTP GET
- http://to###i520.com/v15/count.asp?ma##################################################
UDP
- DNS ASK dl.##ka1l.com
- DNS ASK to###i520.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: '#32770' WindowName: 'Windows Îļþ±£»¤'
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c cacls %WINDIR% /e /p everyone:f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cacls "%TEMP%\" /e /p everyone:f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc config ekrn start= disabled' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im ekrn.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im egui.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im ScanFrm.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' func.dll, droqp' (со скрытым окном)
- '%WINDIR%\syswow64\ipconfig.exe' /all' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c cacls %WINDIR% /e /p everyone:f
- '%WINDIR%\syswow64\cmd.exe' /c cacls "%TEMP%\" /e /p everyone:f
- '%WINDIR%\syswow64\cmd.exe' /c sc config ekrn start= disabled
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im ekrn.exe /f
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im egui.exe /f
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im ScanFrm.exe /f
- '%WINDIR%\syswow64\cacls.exe' "%TEMP%\" /e /p everyone:f
- '%WINDIR%\syswow64\cacls.exe' %WINDIR% /e /p everyone:f
- '%WINDIR%\syswow64\sc.exe' config ekrn start= disabled
- '%WINDIR%\syswow64\rundll32.exe' func.dll, droqp
- '%WINDIR%\syswow64\ipconfig.exe' /all
