Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\4VTQYhMtL0] 'ImagePath' = '<DRIVERS>\4VTQYhMtL0.sys'
Создает следующие сервисы
- '4VTQYhMtL0' <DRIVERS>\4VTQYhMtL0.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\pywdjumc\spcxxsov.exe
- %TEMP%\waedptgo\ycetue9.exe
- %TEMP%\waedptgo\dagood.dll
- %TEMP%\waedptgo\updte.dll
- %TEMP%\waedptgo\adyi1019.dll
- <DRIVERS>\4vtqyhmtl0.sys
- %TEMP%\faeafaabd3555cb68e2f34fa2382cb321cd88.tmp
Удаляет следующие файлы
- <DRIVERS>\4vtqyhmtl0.sys
- %TEMP%\waedptgo\ycetue9.exe
Подменяет следующие файлы
- <DRIVERS>\4vtqyhmtl0.sys
Сетевая активность
Подключается к
- 'by#.##.lcg2020.com':80
- 'td.#.##opdomain1.com':80
- '16###age.com':2653
- '10#.#50.57.11':80
- 'ba##u.com':443
- 'cn.bing.com':80
- 'ap##.#ame.qq.com':80
- 'cd#.#uilet.com':80
- 'sp#.#aidu.com':443
- 'li##w.top':17320
- 'wx#.#inaimg.cn':80
- 'pv.#ohu.com':80
- '47.##6.10.26':6663
- 'ap#.#bbtv.xyz':80
- '21######.sched.sma.tdnsv5.com':80
- 'gw##sh.com':80
TCP
Запросы HTTP GET
- http://dd####kd.mmakd.ren/API/General/theseven
- http://dd####kd.mmakd.ren/api/userconfig/uc_b8a54559c4b5561137685a1df24c9f15.json
- http://dd####kd.mmakd.ren/API/General/arearst
- http://ap#.#bbtv.xyz/m.php?md##########################################################
- http://dd####kd.mmakd.ren/API/General/lsrpu
- http://dd####kd.mmakd.ren/API/General/czcheck
Запросы HTTP POST
- http://by#.##.lcg2020.com/checkver
- http://by#.##.lcg2020.com/zzz
- http://gw##sh.com/api/r/mcm
UDP
- DNS ASK by#.##.lcg2020.com
- DNS ASK ap##.#ame.qq.com
- DNS ASK ap#.#bbtv.xyz
- DNS ASK pv.#ohu.com
- DNS ASK 21######.sched.sma.tdnsv5.com
- DNS ASK cd#.#####w.com.cdn.dnsv1.com
- DNS ASK dd####kd.mmakd.ren
- DNS ASK wx#.#inaimg.cn
- DNS ASK cd#.#ackow.com
- DNS ASK cd#.#uilet.com
- DNS ASK sp#.#aidu.com
- DNS ASK cn.bing.com
- DNS ASK cd#.#qb3.com
- DNS ASK ba##u.com
- DNS ASK 16###age.com
- DNS ASK s1####.listw.top
- DNS ASK li##w.top
- DNS ASK td.#.##opdomain1.com
- DNS ASK microsoft.com
- DNS ASK gw##sh.com
- 's1####.listw.top':21785
- '255.255.255.255':47754
- '255.255.255.255':29352
Другое
Ищет следующие окна
- ClassName: 'ProgMan' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: '2978' WindowName: ''
- ClassName: 'HallMainWnd' WindowName: ''
- ClassName: 'jjhgame' WindowName: ''
- ClassName: '1916GameCenter' WindowName: '1916ÓÎÏ·ÖÐÐÄ'
- ClassName: '850GamePlaza' WindowName: ''
- ClassName: 'Net77_GamePlaza' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\pywdjumc\spcxxsov.exe' -k
- '%TEMP%\waedptgo\ycetue9.exe'
- '<SYSTEM32>\ipconfig.exe' /flushdns' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /all' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del /Q /F "%TEMP%\WAEDPtgO\ycetue9.exe"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%TEMP%\pywdjumc\spcxxsov.exe"
- '<SYSTEM32>\dllhst3g.exe'
- '<SYSTEM32>\audiodg.exe'
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /all
- '%WINDIR%\syswow64\ipconfig.exe' /all
- '%WINDIR%\syswow64\cmd.exe' /c del /Q /F "%TEMP%\WAEDPtgO\ycetue9.exe"
