Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '<DNS_SERVER>'
- Изменяет DNS-сервер на '114.114.114.114'
Внедряет код в
следующие пользовательские процессы:
- c6e2ce0ade2c.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\<Имя файла>.lnk
- <Текущая директория>\be47168b05\be6999678949\acc8a73\391e4ql6s.dll
- <Текущая директория>\be47168b05\c93fb6a9\6538ezlg1.dll
- <Текущая директория>\be47168b05\be6999678949\e280df5f\c6e2ce0ade2c.ini
- <Текущая директория>\be47168b05\be6999678949\d0b29d\f2b8qcxse.exe
- <Текущая директория>\be47168b05\d968e65c\5379g2pl6.dll
- <Текущая директория>\be47168b05\ba7705\5802j4rn8.dll
- <Текущая директория>\be47168b05\b4f0bfc545\e81d2oj4q.dll
- <Текущая директория>\be47168b05\i4ea8d5a0a\6feaezlg1.dll
- <Текущая директория>\be47168b05\jedbe9c7\3ab7zmh2t.dll
- <Текущая директория>\be47168b05\be6999678949\d8c67cd\d336toavq.dll
- <Текущая директория>\be47168b05\ib63d63e0903\4a22g2oj4.dll
- <Текущая директория>\be47168b05\be6999678949\c60b19a81dbf\38bcpk5rm.dll
- <Текущая директория>\be47168b05\be6999678949\d8c67cd\2d30avqcx.dll
- <Текущая директория>\be47168b05\be6999678949\b40452121e\daa5widyk.dll
- <Текущая директория>\be47168b05\be6999678949\a606f61153dc\f16ewidyk.dll
- <Текущая директория>\be47168b05\be6999678949\h0f0d3\31bdkf0mh.dll
- <Текущая директория>\be47168b05\be6999678949\haabf623ba41\49c1oavqc.dll
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022072420220725\index.dat
- <Текущая директория>\be47168b05\fef93b18
- %ProgramFiles(x86)%\google\c6e2ce0ade2c.exe
- <Текущая директория>\be47168b05\be6999678949\ea28182a\4049ezlg1.dll
- <Текущая директория>\be47168b05\be6999678949\acc8a73\85967uugb.dll
Удаляет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022072420220725\index.dat
- <Текущая директория>\be47168b05\be6999678949\d8c67cd\d336toavq.dll
- <Текущая директория>\be47168b05\fef93b18
- <Текущая директория>\be47168b05\be6999678949\acc8a73\85967uugb.dll
Подменяет следующие файлы
- <Текущая директория>\be47168b05\fef93b18
Сетевая активность
Подключается к
- '47.##2.126.205':80
- 'do##in.com':80
- 'ku###hou.com':80
- 'so##u.com':80
- 'iq##i.com':80
- 'si###loud.com':80
- 'qq.com':80
- 'so##.com':80
- 'si##.com.cn':80
- 'yg########.oss-accelerate.aliyuncs.com':80
- 'si###torage.cn':80
- 'si###loud.net':80
TCP
Запросы HTTP GET
- http://www.do##in.com/
- http://ya#####g.appchizi.com/kss_admin/
- http://www.qq.com/
- http://www.iq##i.com/
- http://www.ku###hou.com/
- http://www.so##.com/
- http://www.so##u.com/
- http://www.si###loud.com/
- http://www.si##.com.cn/
- http://yg########.oss-accelerate.aliyuncs.com/2022-07-24/20_56
- http://si###torage.cn/security/33085
- http://si###loud.net/security/24291
- http://si###torage.cn/security/fa9d773d60dd30782f6.zip
- http://si###torage.cn/security/35814
UDP
- DNS ASK si###loud.com
- DNS ASK do##in.com
- DNS ASK ku###hou.com
- DNS ASK iq##i.com
- DNS ASK so##.com
- DNS ASK so##u.com
- DNS ASK qq.com
- DNS ASK si##.com.cn
- DNS ASK yg########.oss-accelerate.aliyuncs.com
- DNS ASK si###torage.cn
- DNS ASK si###loud.net
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\google\c6e2ce0ade2c.exe' WfCSfR6DgXZ4kjCCK4AngR48eyZ7Tg==
