Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\FJ0a3LvZ7S] 'ImagePath' = '%WINDIR%\syswow64\vNGtQtNUjV.sys'
Создает следующие сервисы
- 'FJ0a3LvZ7S' %WINDIR%\syswow64\vNGtQtNUjV.sys
Вредоносные функции
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\hmhyx.dll
- %WINDIR%\hjhls\leohvl\1101.gif
- %WINDIR%\hjhls\leohvl\1102.gif
- %WINDIR%\hjhls\leohvl\1074.gif
- %WINDIR%\hjhls\leohvl\1079.png
- %WINDIR%\hjhls\leohvl\1082.gif
- %WINDIR%\hjhls\leohvl\1084.gif
- %WINDIR%\hjhls\leohvl\1076.png
- %ALLUSERSPROFILE%\wetmak\volbrp.exe
- %WINDIR%\hjhls\vgaeu.ico
- %WINDIR%\hjhls\leohvl\1077.gif
- %ALLUSERSPROFILE%\wetmak\rwsgqb.exe
- %WINDIR%\hjhls\awxfl.ico
- %WINDIR%\hjhls\leohvl\gcyaj.dll
- %ALLUSERSPROFILE%\pbkdm.ico
- %WINDIR%\temp\udd4327.tmp
- %WINDIR%\syswow64\vngtqtnujv.sys
- %WINDIR%\hjhls\sudeaf.dll
- %WINDIR%\hjhls\kaexu.dll
- %WINDIR%\hjhls\pwnms.dll
- %WINDIR%\hjhls\leohvl\1080.gif
- %ALLUSERSPROFILE%\wetmak\qlxduv.exe
Удаляет следующие файлы
- %WINDIR%\hmhyx.dll
- %WINDIR%\hjhls\kaexu.dll
- %WINDIR%\hjhls\sudeaf.dll
- %WINDIR%\temp\udd4327.tmp
- %WINDIR%\syswow64\vngtqtnujv.sys
- %ALLUSERSPROFILE%\pbkdm.ico
- %WINDIR%\hjhls\pwnms.dll
- %WINDIR%\hjhls\leohvl\gcyaj.dll
Перемещает следующие файлы
- %WINDIR%\hjhls\sudeaf.dll в %WINDIR%\hjhls\ewdyt.dll
Изменяет следующие файлы
- %HOMEPATH%\favorites\links\web slice gallery.url
- C:\users\public\desktop\google chrome.lnk
- C:\users\public\desktop\mozilla firefox.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\google chrome.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\launch internet explorer browser.lnk
Подменяет следующие файлы
- %WINDIR%\hjhls\sudeaf.dll
Сетевая активность
Подключается к
- 'ud#.#xwan.com':80
- 'dl#.#xwan.com':80
- 'mg.#636.com':80
- 'cl####cdn.jxwan.com':80
TCP
Запросы HTTP GET
- http://ud#.#xwan.com/index/getcfg?id######
- http://dl#.#xwan.com/d2/CDClient.dll
- http://dl#.#xwan.com/d2/x64.dll
- http://mg.#636.com/web/upload/ico/d6e336ef-ed7a-440d-88e1-ba4d80a04fa6.ico
- http://mg.#636.com/web/upload/ico/0ecea4d7-443f-4425-b4cd-ef5c3264d59a.gif
- http://mg.#636.com/web/upload/ico/4d2f9996-55fd-49aa-95df-7ec485b6d5da.ico
- http://mg.#636.com/web/upload/ico/f3b76bcb-4678-4fff-be72-4e400fd0eafa.png
- http://mg.#636.com/web/upload/ico/8cd5d46c-758f-414f-ba26-0a5ce93a8470.gif
- http://mg.#636.com/web/upload/ico/403d3656-495f-453e-b852-210c40d78968.gif
- http://mg.#636.com/web/upload/ico/5aabe2a9-2377-4a88-b329-77490428d103.png
- http://mg.#636.com/web/upload/ico/796377f2-748c-4348-ad85-40cb172776ce.gif
- http://cl####cdn.jxwan.com/ChiYanv.exe
- http://mg.#636.com/web/upload/ico/02a2295e-a634-4f9a-949b-a4ea996fe6dd.gif
- http://mg.#636.com/web/upload/ico/53ac75bf-d39a-4716-bf9d-f0f635656e26.gif
- http://mg.#636.com/web/upload/ico/d960abce-90b5-40d9-b3b9-b0c6e2256941.gif
- http://mg.#636.com/web/upload/ico/bb369e5e-5f72-4617-a0a2-b7de2f4b5b2e.gif
UDP
- DNS ASK ud#.#xwan.com
- DNS ASK dl#.#xwan.com
- DNS ASK mg.#636.com
- DNS ASK cl####cdn.jxwan.com
- '255.255.255.255':30096
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: 'STATIC' WindowName: '0DE74106F9DF8206F3BF15'
- ClassName: 'STATIC' WindowName: '07C7D308ED8FA708EB1F5F'
- ClassName: 'Progman' WindowName: 'Program Manager'
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: 'FolderView'
- ClassName: 'TApplication' WindowName: 'eyoorun'
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\wetmak\qlxduv.exe'
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
