Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\oiikquve] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\oiikquve] 'ImagePath' = 'system32\drivers\oiikquve.sys'
- [<HKLM>\SYSTEM\ControlSet001\Services\UsbFast] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\UsbFast] 'ImagePath' = 'system32\drivers\usbplus.sys'
Вредоносные функции:
Создает и запускает на исполнение:
- C:\execmain.exe
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c c:\emsf.bat
- <SYSTEM32>\cmd.exe /c ""c:\IdRmSelf.bat" "
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtSetValueKey, драйвер-обработчик: oiikquve.sys
Изменения в файловой системе:
Создает следующие файлы:
- <DRIVERS>\oiikquve.sys
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk
- %ALLUSERSPROFILE%\Desktop\Internet Explorer.lnk
- C:\emsf.bat
- C:\tmp.dup
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\reg[1].asp
- C:\PDOSERR.DAT
- <SYSTEM32>\tapiext.dll
- <SYSTEM32>\aticheck.exe
- C:\IdRmSelf.bat
- C:\execmain.exe
- <DRIVERS>\usbplus.sys
Удаляет следующие файлы:
- C:\execmain.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'www.z8#.com.cn':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- www.z8#.com.cn/reg.asp?id##################
UDP:
- DNS ASK www.z8#.com.cn
