Техническая информация
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\easyconnectinstaller.exe
- %APPDATA%\baiduyunguanjia\16587144430802f9f800.dat
- %TEMP%\baidu\autoupdate\config.ini
- %TEMP%\baidu\autoupdate\autoupdateutil.dll
- %TEMP%\baidu\autoupdate\autoupdate.exe
- %TEMP%\baidu\autoupdate\launcher.exe
- %TEMP%\baidu\autoupdate\elevator.exe
- %TEMP%\baidu\autoupdate\k
- %TEMP%\baidu\autoupdate\stage1.exe
- %APPDATA%\baiduyunguanjia\16587144437ada7a23ab.dat
- %WINDIR%\temp\download\mainapp\update.cab.downloading
- %APPDATA%\baiduyunguanjia\1658714422fa6b6e46d4.dat
- %APPDATA%\baiduyunguanjia\1658714421c5c4c8a8dd.dat
- %APPDATA%\baiduyunguanjia\localdata.dat
- %APPDATA%\baiduyunguanjia\165871442181feb597da.dat
- %WINDIR%\temp\download\autoupdate.xml.downloading
- %TEMP%\nscf46e.tmp\system.dll
- %TEMP%\nsmf45d.tmp
- %APPDATA%\easyconnect_14669\easyconnectinstallerraw.exe
- %WINDIR%\temp\config.ini
- %WINDIR%\temp\autoupdateutil.dll
- %WINDIR%\temp\autoupdate.exe
- %APPDATA%\baiduyunguanjia\1658714444074a7621a9.dat
- %WINDIR%\temp\download\packageinfo.xml
Удаляет следующие файлы
- %APPDATA%\baiduyunguanjia\localdata.dat
- %APPDATA%\baiduyunguanjia\16587144437ada7a23ab.dat
- %APPDATA%\baiduyunguanjia\16587144430802f9f800.dat
- %WINDIR%\temp\autoupdate.exe.old
- %WINDIR%\temp\autoupdateutil.dll.old
- %WINDIR%\temp\config.ini.old
- %WINDIR%\temp\download\autoupdate.xml.old.0
- %APPDATA%\baiduyunguanjia\1658714444074a7621a9.dat
- %WINDIR%\temp\download\mainapp\update.cab
- %WINDIR%\temp\k
Перемещает следующие файлы
- %WINDIR%\temp\download\autoupdate.xml.downloading в %WINDIR%\temp\download\autoupdate.xml
- %WINDIR%\temp\download\mainapp\update.cab.downloading в %WINDIR%\temp\download\mainapp\update.cab
- %TEMP%\baidu\autoupdate\stage1.exe в %WINDIR%\temp\stage1.exe
- %TEMP%\baidu\autoupdate\k в %WINDIR%\temp\k
- %TEMP%\baidu\autoupdate\elevator.exe в %WINDIR%\temp\elevator.exe
- %TEMP%\baidu\autoupdate\launcher.exe в %WINDIR%\temp\launcher.exe
- %WINDIR%\temp\autoupdate.exe в %WINDIR%\temp\autoupdate.exe.old
- %WINDIR%\temp\autoupdateutil.dll в %WINDIR%\temp\autoupdateutil.dll.old
- %WINDIR%\temp\config.ini в %WINDIR%\temp\config.ini.old
- %WINDIR%\temp\download\autoupdate.xml в %WINDIR%\temp\download\autoupdate.xml.old.0
- %WINDIR%\temp\stage1.exe в \:wtf
Подменяет следующие файлы
- %APPDATA%\baiduyunguanjia\localdata.dat
- %WINDIR%\temp\autoupdate.exe
- %WINDIR%\temp\autoupdateutil.dll
- %WINDIR%\temp\config.ini
Сетевая активность
Подключается к
- 'se############5y-1251969815.gz.apigw.tencentcs.com':443
- 'up####.pan.baidu.com':80
- 'localhost':49179
- 'localhost':49181
- 'ba##u.com':443
- 'localhost':49184
- 'localhost':49186
- 'localhost':49189
- 'localhost':49191
- 'localhost':49194
- 'localhost':49196
- 'localhost':49199
- 'localhost':49201
TCP
Запросы HTTP POST
- http://up####.pan.baidu.com/statistics?cl###############################################################################################################################
Другие
- 'se############5y-1251969815.gz.apigw.tencentcs.com':443
- 'localhost':49199
- 'localhost':49197
- 'localhost':49196
- 'localhost':49194
- 'localhost':49192
- 'localhost':49191
- 'localhost':49201
- 'localhost':49189
- 'localhost':49186
- 'localhost':49184
- 'ba##u.com':443
- 'localhost':49182
- 'localhost':49181
- 'localhost':49179
- 'localhost':49187
- 'localhost':49202
UDP
- DNS ASK se############5y-1251969815.gz.apigw.tencentcs.com
- DNS ASK up####.pan.baidu.com
- DNS ASK ba##u.com
Другое
Ищет следующие окна
- ClassName: 'MozillaWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\temp\easyconnectinstaller.exe'
- '%WINDIR%\temp\autoupdate.exe'
- '%APPDATA%\easyconnect_14669\easyconnectinstallerraw.exe'
- '%WINDIR%\temp\stage1.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'avpcc'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'avp'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'kavfs'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'kavpf'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'kavtray'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'HipsMain'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'avpm'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'HipsDaemon'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'HipsTray'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq '360safe'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq '360sd'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq '360Tray'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'ZhuDongFangYu'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'HipsLog'} }"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'ccSetMgr'} }"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'ZhuDongFangYu'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq '360Tray'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq '360sd'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq '360safe'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'HipsTray'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'HipsDaemon'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'HipsMain'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'HipsLog'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'kavtray'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'kavpf'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'kavfs'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'avp'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'avpcc'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'avpm'} }"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "& { Get-Process | Where-Object {$_.ProcessName -eq 'ccSetMgr'} }"
