Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\2611HdzMi] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\2611HdzMi] 'ImagePath' = '%WINDIR%\SysWOW64\2611HdzMi.sys'
Создает следующие сервисы
- '2611HdzMi' %WINDIR%\SysWOW64\2611HdzMi.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '<DNS_SERVER>'
- Изменяет DNS-сервер на '114.114.114.114'
Внедряет код в
следующие пользовательские процессы:
- dea9bc2.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\<Имя файла>.lnk
- <Текущая директория>\gd9d7448\c216b3ed\e84b39b\dea9bc2d.ini
- <Текущая директория>\gd9d7448\d5e9c3f6d75\53abnj5rn.dll
- <Текущая директория>\gd9d7448\if2dca69\224a8vrdz.dll
- <Текущая директория>\gd9d7448\dee603941a0d\5eb0vie0m.dll
- <Текущая директория>\gd9d7448\b822582\2d82xtfbx.dll
- <Текущая директория>\gd9d7448\e4b9d89f63\32dfviezl.dll
- <Текущая директория>\gd9d7448\e0981b\f197m8upc.dll
- <Текущая директория>\gd9d7448\c216b3ed\b8fba6f\7a5e7upcy.dll
- <Текущая директория>\gd9d7448\c216b3ed\b528ca43b66\476elh3qm.dll
- <Текущая директория>\gd9d7448\c216b3ed\bd45987b2c\54d7qdzvi.dll
- <Текущая директория>\gd9d7448\c216b3ed\e5a34646df1\5494pl7tp.dll
- <Текущая директория>\gd9d7448\c216b3ed\e34d107cc\2820pcyuh.dll
- <Текущая директория>\gd9d7448\c216b3ed\c43f92a820\47a5j5rm7.dll
- <Текущая директория>\gd9d7448\c216b3ed\jf7d85\523f5sn8u.dll
- <Текущая директория>\gd9d7448\f0c9a8
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022092220220923\index.dat
- %ProgramFiles(x86)%\k-lite codec pack\dea9bc2.exe
- %WINDIR%\syswow64\2611hdzmi.sys
- <DRIVERS>\tmyvcb4p.sys
Удаляет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022092220220923\index.dat
- <DRIVERS>\etc\hosts
Сетевая активность
Подключается к
- 'qq.com':80
- 'si###loud.net':80
- 'iq##i.com':80
- 'so##.com':80
- 'ba##u.com':80
- 'si##.com.cn':80
- 'si###torage.com':80
- '11#.#9.29.29':80
- '11#.#14.114.114':80
- '18#.#54.116.116':80
- 'ya#####g.appchizi.com':80
- 'si###torage.cn':80
- '10#.#01.172.229':80
- 'go.###gxinsys.com':80
- '22#.#9.68.50':80
- '1.##4.187.4':80
TCP
Запросы HTTP GET
- http://www.qq.com/
- http://18#.#54.116.116/d?dn###############
- http://si###torage.com/question/xinjdsfnx.txt
- http://si###torage.com/question/jdgg.txt
- http://si###torage.com/question/data.txt
- http://si###loud.net/question/2022-09-22/17_32
- http://si###torage.com/question/vc8
- http://si###loud.net/question/vc8
- http://si###torage.com/question/2022-09-22/17_32
- http://si###torage.com/question/B64d.rar
- http://si###torage.cn/question/B64d.rar
- http://si###loud.net/question/B64d.rar
- http://si###loud.net/question/B64dtmp.rar
- http://si###torage.com/question/B64dtmp.rar
- http://si###torage.cn/question/B64dtmp.rar
- http://si###torage.cn/question/xinjdsfnx.txt
- http://si###torage.cn/question/data.txt
- http://11#.#9.29.29/d?dn###############
- http://si###torage.cn/question/jdgg.txt
- http://si###torage.cn/question/2022-09-22/17_32
- http://18#.#54.116.116/d?dn################
- http://18#.#54.116.116/d?dn##############
- http://11#.#9.29.29/d?dn################
- http://11#.#9.29.29/d?dn##############
- http://si###torage.cn/question/vc8
- http://www.ba##u.com/
- http://www.si##.com.cn/
- http://si###loud.net/question/jdgg.txt
- http://si###loud.net/question/data.txt
- http://si###loud.net/question/xinjdsfnx.txt
- http://www.so##.com/
- http://www.iq##i.com/
- http://go.###gxinsys.com/data.php?t=#####
- http://go.###gxinsys.com/xinlistj.rar
Запросы HTTP POST
- http://ya#####g.appchizi.com/kss_io/io.php?v=################################################
UDP
- DNS ASK si###loud.net
- DNS ASK ba##u.com
- DNS ASK iq##i.com
- DNS ASK qq.com
- DNS ASK so##.com
- DNS ASK si##.com.cn
- DNS ASK si###torage.com
- DNS ASK ya#####g.appchizi.com
- DNS ASK si###torage.cn
- DNS ASK go.###gxinsys.com
- DNS ASK ss.###qudong.com
- DNS ASK my.###engxin.com
- DNS ASK kk.###qudong.com
- DNS ASK yu#.##1drive.com
- DNS ASK bb.###qudong.com
- DNS ASK my.##years.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\k-lite codec pack\dea9bc2.exe' WfCSdXcvd30rdpJ3eyYndzx7JntO
- '%WINDIR%\syswow64\reg.exe' delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\DEA9BC2D9 /f' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\reg.exe' delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\DEA9BC2D9 /f
