Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\ac4645c9] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\ac4645c9] 'ImagePath' = '<SYSTEM32>\svchost.exe -k ac4645c9'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\ac4645c9\Parameters] 'ServiceDll' = '%ALLUSERSPROFILE%\ac4645c9\fdsvc.dll'
Создает следующие сервисы
- 'ac4645c9' <SYSTEM32>\svchost.exe -k ac4645c9
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\e_n60005\krnln.fnr
- %ALLUSERSPROFILE%\ac4645c9\fdsvc.dll
- %ALLUSERSPROFILE%\ac4645c9\msvcr90.dll
- %ALLUSERSPROFILE%\ac4645c9\msvcp90.dll
- %ALLUSERSPROFILE%\ac4645c9\microsoft.vc90.crt.manifest
- %ALLUSERSPROFILE%\ac4645c9\microsoft.vc90.atl.manifest
- %TEMP%\f4da.tmp
- %TEMP%\f0a5.tmp
- %TEMP%\12033b.tmp
- %TEMP%\e_n60005\internet.fne
- %TEMP%\e_n60005\shell.fne
- %TEMP%\e_n60005\sock.fne
- %TEMP%\e_n60005\iext3.fne
- %TEMP%\e_n60005\iext.fnr
- %TEMP%\e_n60005\dp1.fne
- %TEMP%\e_n60005\mysql.fne
- %TEMP%\e_n60005\eapi.fne
- %TEMP%\e_n60005\e2ee.fne
- %TEMP%\e_n60005\spec.fne
- %TEMP%\e_n60005\ethread.fne
- %ALLUSERSPROFILE%\ac4645c9\libexpat.dll
- %ALLUSERSPROFILE%\thunder network\downloadlib\pub_store.dat
Удаляет следующие файлы
- %TEMP%\f0a5.tmp
- %WINDIR%\temp\ts_5080.tmp
- %WINDIR%\temp\ts_4f66.tmp
- %WINDIR%\temp\ts_39ba.tmp
- %WINDIR%\temp\ts_3852.tmp
- %WINDIR%\temp\ts_361e.tmp
- %WINDIR%\temp\ts_316a.tmp
- %WINDIR%\temp\ts_2bfb.tmp
- %WINDIR%\temp\ts_2b0f.tmp
- %WINDIR%\temp\ts_267a.tmp
- %WINDIR%\temp\fxstiffdebuglogfile.txt
- %WINDIR%\temp\fxsapidebuglogfile.txt
- %WINDIR%\temp\fwtsqmfile00.sqm
- %WINDIR%\temp\dmi8538.tmp
- %WINDIR%\temp\adobearm.log
- %TEMP%\f4da.tmp
- %WINDIR%\temp\ts_77d1.tmp
- %WINDIR%\temp\ts_8e67.tmp
Сетевая активность
Подключается к
- '10#.#5.249.199':5500
- 'as##t.cn':80
- '12#.#8.16.52':80
- 'dn#.#lidns.com':80
- '21#.#8.97.179':1024
- '21#.#8.97.145':1024
- '22#.#10.156.20':1024
- '22#.#10.156.149':1024
TCP
Запросы HTTP GET
- http://10#.##.249.199:5500/sdk.dll via 10#.#5.249.199
- http://as##t.cn/v2/loader.core?_=##################
- http://12#.#8.16.52/assembly?fn##################################
- http://dn#.#lidns.com/resolve?na####################################
- http://as##t.cn/~/Microsoft.VC90.ATL.manifest.gz
- http://22#.##0.156.20:1024/v1/api/verify?_=####### via 22#.#10.156.20
- http://22#.##0.156.20:1024/~/Microsoft.VC90.CRT.manifest.gz via 22#.#10.156.20
- http://22#.###.156.149:1024/v1/api/verify?_=####### via 22#.#10.156.149
- http://22#.###.156.149:1024/~/msvcp90.dll.gz via 22#.#10.156.149
- http://22#.##0.156.20:1024/~/msvcr90.dll.gz via 22#.#10.156.20
- http://22#.###.156.149:1024/~/fdsvc.dll.gz via 22#.#10.156.149
- http://22#.##0.156.20:1024/assembly/libexpat?_=####### via 22#.#10.156.20
UDP
- DNS ASK as##t.cn
- DNS ASK dn#.#lidns.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\sc.exe' stop ac4645c9' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' query ac4645c9' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' create "ac4645c9" binpath= "<SYSTEM32>\svchost.exe -k ac4645c9" start= auto' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' start ac4645c9' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 & del "%TEMP%\F0A5.tmp" & del "%TEMP%\F4DA.tmp"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 & del %WINDIR%\TEMP\*.* /q & del /a:H %WINDIR%\TEMP\*.* /q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 & del C:.* /q & del /a:H C:.* /q' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 & del C:\Users\Default\Desktop\*.* /q & del /a:H C:\Users\Default\Desktop\*.* /q' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe' /u "C:\x1ys.dll" 0ecb773c3bb0389696f6765dad4dde70 516' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\sc.exe' stop ac4645c9
- '%WINDIR%\syswow64\sc.exe' query ac4645c9
- '%WINDIR%\syswow64\sc.exe' create "ac4645c9" binpath= "<SYSTEM32>\svchost.exe -k ac4645c9" start= auto
- '%WINDIR%\syswow64\sc.exe' start ac4645c9
- '%WINDIR%\syswow64\svchost.exe' -k ac4645c9
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 & del "%TEMP%\F0A5.tmp" & del "%TEMP%\F4DA.tmp"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe' /u "C:\x1ys.0"
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 & del %WINDIR%\TEMP\*.* /q & del /a:H %WINDIR%\TEMP\*.* /q
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 & del C:.* /q & del /a:H C:.* /q
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 & del C:\Users\Default\Desktop\*.* /q & del /a:H C:\Users\Default\Desktop\*.* /q
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe' /u "C:\x1ys.dll" 0ecb773c3bb0389696f6765dad4dde70 516
