Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\SYSTEM\CurrentControlSet\services\SCardSvr] 'Start' = '00000002'
- [<HKLM>\SYSTEM\CurrentControlSet\services\MpsSvc] 'Start' = '00000002'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im Update_vss.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im vss-declaration.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ietabhelper.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im msiexec.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im eSigner.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im HTKK.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im iTaxViewer.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im FixCert.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im javacpl.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im jqs.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im jaureg.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im jucheck.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im jusched.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im jp2launcher.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im javaws.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im javaw.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im java.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im PFS.QTT2012.TOOLNHAPDKT2009.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im PFS.QTT2012.TOOLNHAP.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im CertEnrollCtrl.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Xseo.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im UpdateWinsys.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im CheckWinSys.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im WinSys.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im WinDone.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im iexplore.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v4.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v4_certd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im vss-declaration-updater.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Update_vss.tmp
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1208' = '00000000'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1201' = '00000003'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1201' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1201' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2201' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1004' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1201' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1405' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1200' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '120B' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1402' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '120A' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1208' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2201' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1004' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1201' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1405' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1200' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '120B' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '120A' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1209' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1209' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
Принудительно разрешает автозапуск со съемных носителей.
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %ProgramFiles(x86)%\mrkimcuong\update_vss\update-vss.exe
- %ProgramFiles(x86)%\mrkimcuong\update_vss\update-vss_mainicon.ico
- %ProgramFiles(x86)%\mrkimcuong\update_vss\run.cmd
- %ProgramFiles(x86)%\mrkimcuong\update_vss\uninstall.exe
- %ProgramFiles(x86)%\mrkimcuong\update_vss\uninstall.ini
- %TEMP%\is-0fo5v.tmp\update-vss.tmp
- %TEMP%\is-j4ogc.tmp\_isetup\_setup64.tmp
- %TEMP%\is-j4ogc.tmp\itaxviewer_mini.exe
- %TEMP%\is-j4ogc.tmp\vss-declaration-setup.exe
Удаляет следующие файлы
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
Сетевая активность
Подключается к
- 'ch###so24h.com':80
- 'my###voice.vn':80
- 'ch####o24h.com.vn':80
TCP
Запросы HTTP GET
- http://ch####o24h.com.vn/tool/vss-declaration.exe via ch###so24h.com
UDP
- DNS ASK ch###so24h.com
- DNS ASK my###voice.vn
- DNS ASK ch####o24h.com.vn
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\mrkimcuong\update_vss\update-vss.exe' /silent /norestart /closeapplications
- '%TEMP%\is-0fo5v.tmp\update-vss.tmp' /SL5="$E0022,3342972,227840,%ProgramFiles(x86)%\MrKimCuong\Update_VSS\Update-VSS.exe" /silent /norestart /closeapplications
- '%WINDIR%\syswow64\taskkill.exe' /f /im ietabhelper.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im msiexec.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im eSigner.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im HTKK.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im iTaxViewer.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im FixCert.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im javacpl.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im jqs.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im jaureg.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im jucheck.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im jusched.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im jp2launcher.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im javaws.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im javaw.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im java.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im PFS.QTT2012.TOOLNHAPDKT2009.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im PFS.QTT2012.TOOLNHAP.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im CertEnrollCtrl.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im Xseo.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im UpdateWinsys.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im CheckWinSys.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im WinSys.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im WinDone.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im iexplore.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v4.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im Nca_v4_certd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im vss-declaration.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im vss-declaration-updater.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles(x86)%\MrKimCuong\Update_VSS\run.cmd" "
