Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '<DNS_SERVER>'
- Изменяет DNS-сервер на '114.114.114.114'
Внедряет код в
следующие пользовательские процессы:
- d8adbe.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\<Имя файла>.lnk
- <Текущая директория>\c724e3\b987cd34\ed5701f8dc3\76ccj4ql6.dll
- <Текущая директория>\c724e3\b4470981b3\ff8bxsezu.dll
- <Текущая директория>\c724e3\b987cd34\bc3148213\3036l6sn8.exe
- <Текущая директория>\c724e3\j903985f\3503xsezu.dll
- <Текущая директория>\c724e3\bb49ead628\a3bwidyk.dll
- <Текущая директория>\c724e3\fb22f317\8f59sezug.dll
- <Текущая директория>\c724e3\c2d7bdc9\52b6bwrdy.dll
- <Текущая директория>\c724e3\ce701c\384cf0mh2.dll
- <Текущая директория>\c724e3\b76203\6934vhcfa.dll
- <Текущая директория>\c724e3\b987cd34\a74335\f321ezugb.dll
- <Текущая директория>\c724e3\b987cd34\cdba47405c\d8adbe9.ini
- <Текущая директория>\c724e3\b987cd34\fcdb887\8aevhcxj.dll
- <Текущая директория>\c724e3\b987cd34\a74335\56892pk5r.dll
- <Текущая директория>\c724e3\b987cd34\d57cd263a59\3f30pbwrd.dll
- <Текущая директория>\c724e3\b987cd34\g9664af9\a149oavqc.dll
- <Текущая директория>\c724e3\b987cd34\hb152c7\d681ylg2o.dll
- <Текущая директория>\c724e3\b987cd34\j82e33d\618ahdykg.dll
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022061720220618\index.dat
- <Текущая директория>\c724e3\d6db6ff94bd0
- %ProgramFiles(x86)%\k-lite codec pack\d8adbe.exe
- <Текущая директория>\c724e3\b987cd34\a2bfbf35\1949sn8up.dll
- <Текущая директория>\c724e3\b987cd34\ed5701f8dc3\a3fdk6sn8.dll
Удаляет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022061720220618\index.dat
- <Текущая директория>\c724e3\b987cd34\a74335\f321ezugb.dll
- <Текущая директория>\c724e3\d6db6ff94bd0
- <Текущая директория>\c724e3\b987cd34\ed5701f8dc3\a3fdk6sn8.dll
- <DRIVERS>\etc\hosts
Подменяет следующие файлы
- <Текущая директория>\c724e3\d6db6ff94bd0
Сетевая активность
Подключается к
- '8.##8.87.7':80
- 'si###loud.net':80
- 'si###torage.cn':80
- 'si###torage.com':80
- 'fo###ate.net':80
- 'sh########.oss-accelerate.aliyuncs.com':80
- 'ha##23.com':80
- '18#.#54.116.116':80
- '16##.com':80
- 'jd.com':80
- 'so.com':80
- 'ba##u.com':80
- 'si##.com.cn':80
- 'qq.com':80
- 'so##u.com':80
- 'yo##ao.com':80
- '11#.#9.29.29':80
TCP
Запросы HTTP GET
- http://ya#####g.appchizi.com/kss_admin/
- http://si###torage.cn/security/15179
- http://si###torage.com/security/c127d55e19b.zip
- http://yo##ao.com/
- http://si###torage.com/security/23827
- http://fo###ate.net/
- http://sh########.oss-accelerate.aliyuncs.com/2022-06-17/17_39
- http://www.ha##23.com/
- http://www.16##.com/
- http://so##.com/
- http://www.so.com/
- http://www.jd.com/
- http://www.ba##u.com/
- http://www.so##u.com/
- http://www.si##.com.cn/
- http://www.qq.com/
- http://11#.#9.29.29/d?dn##############
- http://18#.#54.116.116/d?dn##############
UDP
- DNS ASK so##u.com
- DNS ASK qq.com
- DNS ASK si##.com.cn
- DNS ASK so.com
- DNS ASK ba##u.com
- DNS ASK so##.com
- DNS ASK jd.com
- DNS ASK 16##.com
- DNS ASK ha##23.com
- DNS ASK yo##ao.com
- DNS ASK sh########.oss-accelerate.aliyuncs.com
- DNS ASK fo###ate.net
- DNS ASK si###torage.com
- DNS ASK si###torage.cn
- DNS ASK si###loud.net
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\k-lite codec pack\d8adbe.exe' WfCSgR4qgSsfK5J1Ki8keCaBgjx7JntO
