Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\Ias] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\Ias] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\Ias\Parameters] 'ServiceDll' = '<SYSTEM32>\ipxtcp.log'
- [<HKLM>\System\CurrentControlSet\Services\aec] 'ImagePath' = '<DRIVERS>\aec.SYS'
- [<HKLM>\System\CurrentControlSet\Services\pcidump] 'ImagePath' = '%WINDIR%\drivers\pcidump.sys'
Создает следующие сервисы
- 'Ias' <SYSTEM32>\svchost.exe -k netsvcs
- 'aec' <DRIVERS>\aec.SYS
- 'AsyncMac' <DRIVERS>\AsyncMac.sys
- 'pcidump' %WINDIR%\\drivers\pcidump.sys
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im ekrn.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im egui.exe /f
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\1142800_res.tmp
- %WINDIR%\killdll.dll
- %TEMP%\1173611_res.tmp
- <Текущая директория>\delself.bat
- %WINDIR%\syswow64\drivers\aec.sys
- %WINDIR%\syswow64\drivers\asyncmac.sys
- %WINDIR%\1212907_0x.exe
- %WINDIR%\syswow64\37.exe
- %WINDIR%\_uttok.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\syswow64\37.exe
- %WINDIR%\syswow64\ipxtcp.log
Удаляет следующие файлы
- %WINDIR%\syswow64\drivers\aec.sys
- %WINDIR%\syswow64\drivers\asyncmac.sys
- %WINDIR%\killdll.dll
Перемещает следующие файлы
- %TEMP%\1142800_res.tmp в %WINDIR%\syswow64\37.exe
- %TEMP%\1173611_res.tmp в %WINDIR%\syswow64\ipxtcp.log
- %WINDIR%\syswow64\37.exe в %WINDIR%\syswow64\scvhost.exe
Самоудаляется.
Сетевая активность
UDP
- DNS ASK cn###.net.cn
- DNS ASK ni##66.cn
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\37.exe'
- '%WINDIR%\1212907_0x.exe'
- '%WINDIR%\syswow64\cmd.exe' /c sc config ekrn start= disabled' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill.exe /im ekrn.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill.exe /im egui.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c DelSelf.bat' (со скрытым окном)
- '%WINDIR%\1212907_0x.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\_uttok.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c sc config ekrn start= disabled
- '%WINDIR%\syswow64\sc.exe' config ekrn start= disabled
- '%WINDIR%\syswow64\cmd.exe' /c taskkill.exe /im ekrn.exe /f
- '%WINDIR%\syswow64\cmd.exe' /c taskkill.exe /im egui.exe /f
- '%WINDIR%\syswow64\rundll32.exe' %WINDIR%\killdll.dll testall
- '%WINDIR%\syswow64\cmd.exe' /c DelSelf.bat
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\_uttok.bat
