Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\GSkcskb Tlctl] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\GSkcskb Tlctl] 'ImagePath' = '<SYSTEM32>\GSkcsk.exe -auto'
Создает следующие сервисы
- 'GSkcskb Tlctl' <SYSTEM32>\GSkcsk.exe -auto
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>giwlsk.exe
- %WINDIR%\syswow64\gskcsk.exe
- nul
- %WINDIR%\syswow64\delete00.bat
Удаляет следующие файлы
- <Текущая директория>giwlsk.exe
Самоудаляется.
Сетевая активность
Подключается к
- 'localhost':0
- '15#.#40.106.162':8080
- '<LOCALNET>.20.67':8080
UDP
- 'localhost':59296
- 'localhost':49487
- 'localhost':57143
- 'localhost':57146
- 'localhost':56806
- 'localhost':52626
- 'localhost':53268
- 'localhost':57819
- 'localhost':57822
Другое
Создает и запускает на исполнение
- '<Текущая директория>giwlsk.exe'
- '%WINDIR%\syswow64\gskcsk.exe' -auto
- '%WINDIR%\syswow64\gskcsk.exe' -acsi
- '%WINDIR%\syswow64\cmd.exe' \c ping -n 2 127.0.0.1 > nul && del C:\QNGVTQ~1.EXE > nul' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\\Delete00.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' \c ping -n 2 127.0.0.1 > nul && del C:\QNGVTQ~1.EXE > nul
- '%WINDIR%\syswow64\ping.exe' -n 2 127.0.0.1
- '%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\\Delete00.bat
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1
