Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- gdc9575c.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\<Имя файла>.lnk
- %ProgramFiles(x86)%\gdc9575c.exe
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022091920220920\index.dat
- <Текущая директория>\d3227b586\vc7
- <Текущая директория>\d3227b586\d17a7bd\2e53avqcx.dll
- <Текущая директория>\d3227b586\ff3837894\f4110a91a6\eda1mh2oj.dll
- <Текущая директория>\d3227b586\ff3837894\i5bba18be5b\f5e8zugbw.dll
- <Текущая директория>\d3227b586\ff3837894\a39b25677\8b7af1ni3.dll
- <Текущая директория>\d3227b586\ff3837894\c8e2fcd\c552rm7to.dll
- <Текущая директория>\d3227b586\ff3837894\caad64edbcaf\e5becxjez.dll
- <Текущая директория>\d3227b586\ff3837894\hac44feb88\2891g1ni3.dll
- <Текущая директория>\d3227b586\ff3837894\ad2cfb03\9abqfavh.dll
- <Текущая директория>\d3227b586\ff3837894\d38529c7f\1b1bh2oj4.dll
- <Текущая директория>\d3227b586\afd57a3466d\3357avqcx.dll
- <Текущая директория>\d3227b586\ff3837894\a8a0f4f\6bfawidyk.dll
- <Текущая директория>\d3227b586\ff3837894\d82ca04\gdc9575c.ini
Удаляет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022091920220920\index.dat
- <DRIVERS>\etc\hosts
Перемещает следующие файлы
- %ProgramFiles(x86)%\gdc9575c.exe в C:\$recycle.bin\117117741\....\af452e2619
Изменяет следующие файлы
Сетевая активность
Подключается к
- '12#.#38.140.44':37
- 'si###loud.net':80
- '11#.#14.114.114':80
- '11#.#9.29.29':80
- '18#.#54.116.116':80
- 'al.#g00.com':8080
- 'si###torage.cn':80
- 'ne###afz.com':80
- 'ne####.kantongji.com':8080
- 'si###torage.com':80
- 'la##ous.com':80
- 'bl##.#ina.com.cn':80
- 'bl##.#ina.com.cn':443
- 'cr#.##gicert-cn.com':80
- 'oc##.dcocsp.cn':80
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://si###loud.net/question/2022-09-19/14_17
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://si###torage.cn/question/vc8
- http://oc##.dcocsp.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSmVYFXwi%2FRq9wx3PKhB8lC%2FFYUyAQUkZ9eMRWuEJ%2BtYMH3wcyqSDQvDCYCEAzO0gBnFapW5OYkmVqN%2FxE%3D
- http://18#.#54.116.116/d?dn#################
- http://11#.#9.29.29/d?dn#################
- http://oc##.dcocsp.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSAUQYBMq2awn1Rh6Doh%2FsBYgFV7gQUA95QNVbRTLtm8KPiGxvDl7I90VUCEAoEcNCWvIoSyJCm34Ju7Es%3D
- http://cr#.##gicert-cn.com/DigiCertGlobalRootCA.crl
- http://bl##.#ina.com.cn/s/profile_5671028816.html
- http://www.la##ous.com/u/clouddisk
- http://18#.#54.116.116/d?dn################
- http://11#.#9.29.29/d?dn################
- http://www.ne###afz.com/nq/nqt4.jpg
- http://www.ne###afz.com/nq/nqt3.jpg
- http://si###torage.com/question/2022-09-19/14_17
- http://si###torage.com/question/dns.txt
- http://www.ne###afz.com/nq/nqt2.jpg
- http://www.ne###afz.com/nq/nqt1.jpg
- http://www.ne###afz.com/nq/nq.jpg
- http://18#.#54.116.116/d?dn###############
- http://11#.#9.29.29/d?dn###############
- http://www.ne###afz.com/sf.html
- http://si###torage.cn/question/dns.txt
- http://si###torage.cn/question/2022-09-19/14_17
- http://al.###0.com:8080/kss_api/io.php?a=###################################################################### via al.#g00.com
- http://18#.#54.116.116/d?dn##############
- http://11#.#9.29.29/d?dn##############
- http://si###loud.net/question/dns.txt
- http://si###loud.net/question/vc8
- http://si###torage.com/question/vc8
Другие
- 'bl##.#ina.com.cn':443
UDP
- DNS ASK si###loud.net
- DNS ASK al.#g00.com
- DNS ASK si###torage.cn
- DNS ASK ne####.kantongji.com
- DNS ASK ne###afz.com
- DNS ASK si###torage.com
- DNS ASK la##ous.com
- DNS ASK bl##.#ina.com.cn
- DNS ASK oc##.dcocsp.cn
- DNS ASK cr#.##gicert-cn.com
- DNS ASK microsoft.com
- DNS ASK public-trust.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\gdc9575c.exe' WfCSJH14fHgfJ5ImdnskJR88eyZ7Tg==
