Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\FBF7vHcxJ] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\FBF7vHcxJ] 'ImagePath' = '%WINDIR%\SysWOW64\FBF7vHcxJ.sys'
Создает следующие сервисы
- 'FBF7vHcxJ' %WINDIR%\SysWOW64\FBF7vHcxJ.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '<DNS_SERVER>'
- Изменяет DNS-сервер на '114.114.114.114'
Внедряет код в
следующие пользовательские процессы:
- b6e42ce3ba03.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\<Имя файла>.lnk
- <Текущая директория>\c65ef5ef22d5\i78595\gf029c\8a08kf0mh.dll
- <Текущая директория>\c65ef5ef22d5\i78595\e3ea766a8\dedcdbxje.dll
- <Текущая директория>\c65ef5ef22d5\i78595\d4669a3b91\fe89l7toa.dll
- <Текущая директория>\c65ef5ef22d5\i78595\e3ea766a8\60dfrn8up.dll
- <Текущая директория>\c65ef5ef22d5\jc90131a\26dfcytgc.dll
- <Текущая директория>\c65ef5ef22d5\i78595\h7275a\ee63navqc.exe
- <Текущая директория>\c65ef5ef22d5\ca9bda3f\7034f1nj5.dll
- <Текущая директория>\c65ef5ef22d5\a935c4cf\c0c8cytgb.dll
- <Текущая директория>\c65ef5ef22d5\db379aeac\92f0ok5rm.dll
- <Текущая директория>\c65ef5ef22d5\g2a941e8\3a4cxje0m.dll
- <Текущая директория>\c65ef5ef22d5\e595c67e470\b8f6sobxt.dll
- <Текущая директория>\c65ef5ef22d5\d2c03d16\53b7sezug.dll
- <Текущая директория>\c65ef5ef22d5\i78595\gf029c\3b2axtfav.dll
- <Текущая директория>\c65ef5ef22d5\i78595\h0c8bd\95c3pk5r.dll
- <Текущая директория>\c65ef5ef22d5\i78595\d4669a3b91\8189ykf0m.dll
- <Текущая директория>\c65ef5ef22d5\i78595\ecdbc3a62\8f3eyugbw.dll
- <Текущая директория>\c65ef5ef22d5\i78595\i3d21c1e4\472auhcyk.dll
- <Текущая директория>\c65ef5ef22d5\i78595\b309ffb86\390dbwrdy.dll
- <Текущая директория>\c65ef5ef22d5\i78595\b3036d9ce\efa75sn8u.dll
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022060420220605\index.dat
- <Текущая директория>\c65ef5ef22d5\i78595\e6ae107d659d\b6e42ce3ba03.ini
- <Текущая директория>\c65ef5ef22d5\b110542
- %ProgramFiles(x86)%\google\b6e42ce3ba03.exe
- %WINDIR%\syswow64\fbf7vhcxj.sys
- <DRIVERS>\4lpskley.sys
Удаляет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022060420220605\index.dat
- <Текущая директория>\c65ef5ef22d5\i78595\d4669a3b91\fe89l7toa.dll
- <Текущая директория>\c65ef5ef22d5\b110542
- <Текущая директория>\c65ef5ef22d5\i78595\e3ea766a8\dedcdbxje.dll
- <Текущая директория>\c65ef5ef22d5\i78595\gf029c\8a08kf0mh.dll
- <DRIVERS>\etc\hosts
Подменяет следующие файлы
- <Текущая директория>\c65ef5ef22d5\b110542
Сетевая активность
Подключается к
- '8.##8.87.7':80
- '22#.#9.68.50':80
- 'os#.##iyungx.com':80
- '10#.#01.172.229':80
- 'ad##########.oss-accelerate.aliyuncs.com':80
- 'si###torage.com':80
- 'si###loud.net':80
- 'si###torage.cn':80
- 'jd##.######-zhangjiakou.aliyuncs.com':80
- 'yd########.oss-accelerate.aliyuncs.com':80
- 'si###loud.com':80
- 'cd##m.cn':80
- 'al##un.com':80
- 'hu##.com':80
- 'jm#.com.cn':80
- '1.##4.187.4':80
- 'te##ent.com':80
- 'ku###hou.com':80
- 'au###ome.com.cn':80
- 'cc##.com':80
- 'so.com':80
- 'yo##ao.com':80
- 'jd.com':80
- 'zh##u.com':80
- 'si##.com.cn':80
- 'ba##u.com':80
- 'qq.com':80
- 'iq##i.com':80
- 'fo###ate.net':80
- 'so##.com':80
- '16##.com':80
- 'ha##23.com':80
- '58.##3.140.96':80
TCP
Запросы HTTP GET
- http://ya#####g.appchizi.com/kss_admin/
- http://www.si###loud.com/
- http://yd########.oss-accelerate.aliyuncs.com/2022-06-04/20_11
- http://jd##.######-zhangjiakou.aliyuncs.com/sf.html
- http://jd##.######-zhangjiakou.aliyuncs.com/no.png
- http://www.au###ome.com.cn/
- http://si###torage.cn/security/12122
- http://si###torage.cn/security/g55b0373eb18d74.zip
- http://www.si##.com.cn/
- http://si###loud.net/security/16600
- http://ad##########.oss-accelerate.aliyuncs.com/2022-06-04/20_11
- http://si###torage.cn/security/34094
- http://os#.##iyungx.com/data.php?t=#####
- http://os#.##iyungx.com/xinxinlistj.rar
- http://os#.##iyungx.com/listh.rar
- http://os#.##iyungx.com/md5exe.rar
- http://os#.##iyungx.com/exeFeatureCode.rar
- http://www.ha##23.com/
- http://www.do##in.com/
- http://www.al##un.com/
- http://so##.com/
- http://www.jm#.com.cn/
- http://www.ea###oney.com/
- http://www.zh##u.com/
- http://www.jd.com/
- http://www.iq##i.com/
- http://www.qq.com/
- http://www.so##.com/
- http://fo###ate.net/
- http://os#.##iyungx.com/updata64.php?t=#######
- http://si###torage.com/security/19457
- http://www.cc##.com/
- http://www.ba##u.com/
- http://www.so##u.com/
- http://yo##ao.com/
- http://www.te##ent.com/
- http://www.so.com/
- http://www.hu##.com/
- http://www.tm##l.com/
- http://www.16##.com/
- http://www.jb##.net/
- http://os#.##iyungx.com/updata64.rar
UDP
- DNS ASK so##.com
- DNS ASK si###torage.com
- DNS ASK si###loud.net
- DNS ASK si###torage.cn
- DNS ASK jd##.######-zhangjiakou.aliyuncs.com
- DNS ASK yd########.oss-accelerate.aliyuncs.com
- DNS ASK do##in.com
- DNS ASK si###loud.com
- DNS ASK ku###hou.com
- DNS ASK al##un.com
- DNS ASK hu##.com
- DNS ASK ha##23.com
- DNS ASK au###ome.com.cn
- DNS ASK cc##.com
- DNS ASK jm#.com.cn
- DNS ASK ad##########.oss-accelerate.aliyuncs.com
- DNS ASK cd##m.cn
- DNS ASK te##ent.com
- DNS ASK jb##.net
- DNS ASK zh##u.com
- DNS ASK so.com
- DNS ASK yo##ao.com
- DNS ASK jd.com
- DNS ASK ba##u.com
- DNS ASK ea###oney.com
- DNS ASK fo###ate.net
- DNS ASK 16##.com
- DNS ASK qq.com
- DNS ASK si##.com.cn
- DNS ASK so##u.com
- DNS ASK iq##i.com
- DNS ASK tm##l.com
- DNS ASK os#.##iyungx.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\google\b6e42ce3ba03.exe' WfCSdIAvJncmdTCSKYAmJh97eHo8eyZ7Tg==
