Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\CreateSvcRpc_977361] 'ImagePath' = 'cmd /c C:\Users\Public\KK.exe'
- [HKLM\System\CurrentControlSet\Services\NAME01] 'ImagePath' = 'C:\UbB171rdT.sys'
- [HKLM\System\CurrentControlSet\Services\CreateSvcRpc_1008733] 'ImagePath' = 'cmd /c reg ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f'
- [HKLM\System\CurrentControlSet\Services\CreateSvcRpc_1009872] 'ImagePath' = 'cmd /c reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBeha...
- [HKLM\System\CurrentControlSet\Services\CreateSvcRpc_1011728] 'ImagePath' = 'cmd /c reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBeha...
- [HKLM\System\CurrentControlSet\Services\CreateSvcRpc_1013039] 'ImagePath' = 'cmd /c rundll32.exe C:\Users\Public\svcer.dll,InsertSvc'
Создает следующие сервисы
- 'CreateSvcRpc_977361' cmd /c C:\Users\Public\KK.exe
- 'NAME01' C:\UbB171rdT.sys
- 'CreateSvcRpc_1008733' cmd /c reg ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- 'CreateSvcRpc_1009872' cmd /c reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t reg_dword /d 0 /F
- 'CreateSvcRpc_1011728' cmd /c reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t reg_dword /d 0 /F
- 'CreateSvcRpc_1013039' cmd /c rundll32.exe C:\Users\Public\svcer.dll,InsertSvc
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\pro.exe
- C:\users\public\kk.exe
- %WINDIR%\temp\e_n60005\krnln.fnr
- %WINDIR%\temp\e_n60005\spec.fne
- %WINDIR%\temp\e_n60005\mp3.run
- C:\ubb171rdt.sys
- C:\users\public\svcer.dll
- %WINDIR%\temp\udd6da0.tmp
Удаляет следующие файлы
- %WINDIR%\temp\udd6da0.tmp
Сетевая активность
Подключается к
- '15#.#2.92.30':80
- 'd-###6.i4.cn':443
TCP
Запросы HTTP GET
- http://15#.#2.92.30/a154.55.243.7.txt
- http://15#.#2.92.30/s154.55.243.7.txt
- http://15#.#2.92.30/KK.TXT
Другие
- 'd-###6.i4.cn':443
UDP
- DNS ASK d-###6.i4.cn
Другое
Создает и запускает на исполнение
- 'C:\users\public\pro.exe'
- 'C:\users\public\kk.exe'
- 'C:\users\public\dzss.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c tasklist | findstr /i 360tray.exe
- '%WINDIR%\syswow64\tasklist.exe'
- '%WINDIR%\syswow64\findstr.exe' /i 360tray.exe
- '<SYSTEM32>\cmd.exe' /c C:\Users\Public\KK.exe
- '<SYSTEM32>\cmd.exe' /c reg ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t reg_dword /d 0 /F
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t reg_dword /d 0 /F
- '<SYSTEM32>\cmd.exe' /c rundll32.exe C:\Users\Public\svcer.dll,InsertSvc
- '<SYSTEM32>\rundll32.exe' C:\Users\Public\svcer.dll,InsertSvc
- '%WINDIR%\syswow64\svchost.exe' -k ArcherGroupEx
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v QQ°²È«ÖÐÐÄ /t REG_SZ /d "C:\Users\Public\dzss.exe" /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v QQ°²È«ÖÐÐÄ /t REG_SZ /d "C:\Users\Public\dzss.exe" /f
