Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\pla\system\taskguard
- <SYSTEM32>\tasks\microsoft\windows\pla\system\systemupdatenewbackupa
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\yjs_log\log.log
- <Текущая директория>\全民公益.dat
- <Текущая директория>\isocket.dll
- %ALLUSERSPROFILE%\microsoft\wininet\cachedns.exe
- %TEMP%\9c7d.tmp
Удаляет следующие файлы
- <Текущая директория>\isocket.dll
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'co####.#unjiasu.kkidc.com':9501
- '11#.#4.15.55':28666
- '45.##7.11.205':16966
- '10#.#8.32.177':55146
- '10#.#8.32.21':670
- '12#.#7.166.115':670
- '45.##7.11.211':670
- '12#######.#ss-cn-beijing.aliyuncs.com':80
- '12#.#24.158.40':17888
TCP
Запросы HTTP GET
- http://12#######.#ss-cn-beijing.aliyuncs.com/songlaoban.ini
- http://12#.###.158.40:17888/777hosts.pac via 12#.#24.158.40
Другие
- 'co####.#unjiasu.kkidc.com':9501
- '11#.#4.15.55':28666
- '12#.#7.166.115':670
UDP
- DNS ASK co####.#unjiasu.kkidc.com
- DNS ASK 12#######.#ss-cn-beijing.aliyuncs.com
Другое
Изменяет значение AutoConfigURL на 'http://125.124.158.40:17888/rule.pac'
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\全民公益.dat'
- '%WINDIR%\syswow64\cmd.exe' /c icacls %WINDIR%\apppatch\svchost.sdb /grant everyone:(F,GA) SYSTEM:(F,GA) administrators:(F,GA) users:(F,GA) /q /c' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c attrib %WINDIR%\AppPatch\svchost.sdb -r -s -h' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo y|cacls <DRIVERS>\etc\hosts /g everyone:f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c attrib -r -a -s -h <DRIVERS>\etc\hosts' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /flushdns' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c attrib +r +a +s +h <DRIVERS>\etc\hosts' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo y|cacls <DRIVERS>\etc\hosts /g everyone:r' (со скрытым окном)
- '%WINDIR%\syswow64\regedit.exe' /s %WINDIR%\apppatch\svchost.sdb' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\cacls.exe' <DRIVERS>\etc\hosts /g everyone:r
- '%WINDIR%\syswow64\attrib.exe' +r +a +s +h <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\ipconfig.exe' /flushdns
- '%WINDIR%\syswow64\attrib.exe' -r -a -s -h <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\cmd.exe' /c echo y|cacls <DRIVERS>\etc\hosts /g everyone:r
- '%WINDIR%\syswow64\cmd.exe' /c attrib +r +a +s +h <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\cacls.exe' <DRIVERS>\etc\hosts /g everyone:f
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /flushdns
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" echo y"
- '%WINDIR%\syswow64\cmd.exe' /c attrib -r -a -s -h <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\cmd.exe' /c echo y|cacls <DRIVERS>\etc\hosts /g everyone:f
- '%WINDIR%\syswow64\attrib.exe' %WINDIR%\AppPatch\svchost.sdb -r -s -h
- '%WINDIR%\syswow64\icacls.exe' %WINDIR%\apppatch\svchost.sdb /grant everyone:(F,GA) SYSTEM:(F,GA) administrators:(F,GA) users:(F,GA) /q /c
- '%WINDIR%\syswow64\cmd.exe' /c attrib %WINDIR%\AppPatch\svchost.sdb -r -s -h
- '%WINDIR%\syswow64\cmd.exe' /c icacls %WINDIR%\apppatch\svchost.sdb /grant everyone:(F,GA) SYSTEM:(F,GA) administrators:(F,GA) users:(F,GA) /q /c
- '<SYSTEM32>\taskeng.exe' {FF96B4C0-00D3-4EBE-94F5-A4A219D61FA9} S-1-5-21-1960123792-2022915161-3775307078-1001:fsnizomldk\user:Interactive:[1]
- '%WINDIR%\syswow64\regedit.exe' /s %WINDIR%\apppatch\svchost.sdb
