Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '360Safetray' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '360sd' = '00000000'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'QQvvaizfihk' = '"%ProgramFiles(x86)%\vvaizfihk\svchost.exe"'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'vvaizfihk' = '"A:\vvaizfihk.exe"'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'vvaizfihk' = '"C:\vvaizfihk.exe"'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'vvaizfihk' = '"D:\vvaizfihk.exe"'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'vvaizfihk' = '"E:\vvaizfihk.exe"'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'vvaizfihk' = '"<Имя диска съемного носителя>:\vvaizfihk.exe"'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\ProcKiller] 'ImagePath' = '%ProgramFiles(x86)%\vvaizfihk\ProcKiller.sys'
- [<HKLM>\System\CurrentControlSet\Services\hyf55] 'ImagePath' = '%TEMP%\UQByBRx.sys'
Создает следующие сервисы
- 'ProcKiller' %ProgramFiles(x86)%\vvaizfihk\ProcKiller.sys
- 'hyf55' %TEMP%\UQByBRx.sys
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\fvvaizfihk.exe
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\vvaizfihk\svchost.exe
- %ProgramFiles(x86)%\vvaizfihk\svchost.exe
- %ProgramFiles(x86)%\vvaizfihk\prockiller.sys
- %WINDIR%\temp\uddfa16.tmp
- %TEMP%\uqbybrx.sys
- %WINDIR%\dll_vvaizfihk\svcdll.dll
- %WINDIR%\vvaizfihk\vvaizfihk.exe
- C:\cvvaizfihk.exe
- C:\autorun.inf
- D:\dvvaizfihk.exe
- D:\autorun.inf
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\vvaizfihk\svchost.exe
- %ProgramFiles(x86)%\vvaizfihk\svchost.exe
- %ProgramFiles(x86)%\vvaizfihk\prockiller.sys
- %WINDIR%\vvaizfihk\vvaizfihk.exe
- C:\autorun.inf
- D:\autorun.inf
- <Имя диска съемного носителя>:\autorun.inf
Удаляет следующие файлы
- %WINDIR%\temp\uddfa16.tmp
- %ProgramFiles(x86)%\vvaizfihk\prockiller.sys
- %TEMP%\uqbybrx.sys
Подменяет следующие файлы
- %TEMP%\uqbybrx.sys
Самоудаляется.
Сетевая активность
Подключается к
- 'us###.qzone.qq.com':80
- 'us###.qzone.qq.com':443
- 'cr#.##gicert-cn.com':80
- 'oc##.dcocsp.cn':80
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://oc##.dcocsp.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTHv1Dj%2BciPJEWH5JNtwL5Y07mRqwQUxBF%2BiECGwkG%2FZfMa4bRTQKOr7H0CEArIzKqFYmE3jrS4gQrE3QI%3D
UDP
- DNS ASK us###.qzone.qq.com
- DNS ASK oc##.dcocsp.cn
- DNS ASK cr#.##gicert-cn.com
- DNS ASK microsoft.com
- DNS ASK cs.##jiqr.pw
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\vvaizfihk\svchost.exe'
- '%WINDIR%\syswow64\cmd.exe' /c del "<Полный путь к файлу>"' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' start SampleService' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\net.exe' start SampleService
- '%WINDIR%\syswow64\net1.exe' start SampleService
