Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\nBMbyGPw] 'ImagePath' = '<DRIVERS>\WhEAqbH.sys'
Создает следующие сервисы
- 'nBMbyGPw' <DRIVERS>\WhEAqbH.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\logs\vdsldr.exe
- %WINDIR%\explorer.exe
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\] 'WarnonBadCertRecving' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\logs\vdsldr.exe
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\2ik7lgwf.cat
- <DRIVERS>\wheaqbh.sys
- %WINDIR%\temp\uddd47d.tmp
- %WINDIR%\temp\udddc8a.tmp
Удаляет следующие файлы
- %WINDIR%\temp\uddd47d.tmp
- %WINDIR%\temp\udddc8a.tmp
Самоудаляется.
Сетевая активность
Подключается к
- 'do##.#eebaba.pro':443
- 'dn#.#lidns.com':443
- 'dn#.#lidns.com':80
- 'do##.#eebaba.pro':80
- 'ap##.#ame.qq.com':443
- 'oc##.#igicert.cn':80
- 'sp#.#aidu.com':443
TCP
Запросы HTTP GET
- http://dn#.#lidns.com/resolve?na##########################
- http://do##.#eebaba.pro/cfg/cmc/ping.txt
- http://do##.#eebaba.pro/cfg/cmc/userchange.txt
- http://do##.#eebaba.pro/cfg/cmc/userpq.zip
- http://oc##.#igicert.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSAUQYBMq2awn1Rh6Doh%2FsBYgFV7gQUA95QNVbRTLtm8KPiGxvDl7I90VUCEAbJNRrm8KxusAb7DCqnMkE%3D
- http://oc##.#igicert.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQhnxEBNL9LgIhfSsTcHsrTt204QgQURNnISjOO01KNp5KUYR%2BayKW37MsCEAlZRMywkYGXHkcMpMgpr8c%3D
- http://do##.#eebaba.pro/cfg/cmc/blacklist.txt
- http://do##.#eebaba.pro/cfg/user/c995ec7fd4f57c0d/31bd9b27a24e0be9.json
- http://do##.#eebaba.pro/cfg/pub/ms.json
- http://do##.#eebaba.pro/cfg/pub/ps.json
- http://do##.#eebaba.pro/pgm/mds/f0399d4d99e2f9ee/ca3c64c2fdcc5a785a6acf8a3f05de57991f236f8032dc7064.zip
- http://do##.#eebaba.pro/pgm/mds/8a535297eaa802d1/17d0ec639db40991bbe7c285bb4fe48e0f26e9808f1e227964.zip
- http://nr####t.leebaba.pro/report/report_data?da#################################################################################################################################################...
- http://do##.#eebaba.pro/cfg/cmc/hmcfg.txt
- http://do##.#eebaba.pro/cfg/cmc/hmpub.txt
- http://mp####.leebaba.pro/report.php?da##########################################################################################################################################################...
Другие
- 'do##.#eebaba.pro':443
- 'dn#.#lidns.com':443
- 'ap##.#ame.qq.com':443
- 'sp#.#aidu.com':443
UDP
- DNS ASK do##.#eebaba.pro
- DNS ASK dn#.#lidns.com
- DNS ASK ap##.#ame.qq.com
- DNS ASK oc##.#igicert.cn
- DNS ASK sp#.#aidu.com
- '23#.2.2.2':13412
- '23#.#23.112.211':33886
Другое
Ищет следующие окна
- ClassName: 'ProgMan' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'ReBarWindow32' WindowName: ''
- ClassName: 'ToolbarWindow32' WindowName: 'Quick Launch'
- ClassName: 'MSTaskSwWClass' WindowName: ''
- ClassName: 'MSTaskListWClass' WindowName: ''
- ClassName: 'MSAA_DA_Class' WindowName: 'MSAA_DA_4f8'
Создает и запускает на исполнение
- '%WINDIR%\logs\vdsldr.exe'
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 1 & del /Q /F "<Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 1 & del /Q /F "<Полный путь к файлу>"
- '%WINDIR%\syswow64\timeout.exe' /t 1
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%WINDIR%\logs\vdsldr.exe"
