Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '<DNS_SERVER>'
- Изменяет DNS-сервер на '114.114.114.114'
Внедряет код в
следующие пользовательские процессы:
- i997f3a.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\<Имя файла>.lnk
- <Текущая директория>\ea86002\d86507d\ccec4b03b2\i997f3a3.ini
- <Текущая директория>\ea86002\d86507d\a950d47e\273bwrdy.dll
- <Текущая директория>\ea86002\h9b6cafe\4f6fytgcx.dll
- <Текущая директория>\ea86002\d86507d\cdb670e1e7bc\7eaeg1ni3.exe
- <Текущая директория>\ea86002\ec23b41f\d886tgcyk.dll
- <Текущая директория>\ea86002\e2d32c46\7fa7ykf0m.dll
- <Текущая директория>\ea86002\gb998f22\9dccxjez.dll
- <Текущая директория>\ea86002\b82d614\c5595rm7t.dll
- <Текущая директория>\ea86002\b05d2e\40fdcyuhd.dll
- <Текущая директория>\ea86002\d86507d\f6445322dbe3\3f2bmcbwm.dll
- <Текущая директория>\ea86002\fe67ff19dcba\27cbcyuhd.dll
- <Текущая директория>\ea86002\d86507d\i5e4d7dfd56\38ee5rm7t.dll
- <Текущая директория>\ea86002\d86507d\f6445322dbe3\8e340mh2o.dll
- <Текущая директория>\ea86002\d86507d\bd4d42269c\3462sezug.dll
- <Текущая директория>\ea86002\d86507d\f94b5790\4550upbwr.dll
- <Текущая директория>\ea86002\d86507d\e9c77cca\fe6kf0mh.dll
- <Текущая директория>\ea86002\d86507d\hd4e1c8afc\d8adzugbw.dll
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012024052920240530\index.dat
- <Текущая директория>\ea86002\b1ced9d
- %ProgramFiles(x86)%\adobe\i997f3a.exe
- <Текущая директория>\ea86002\d86507d\caf1014\4c9erm7to.dll
- <Текущая директория>\ea86002\d86507d\a950d47e\6636oavqc.dll
Удаляет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012024052920240530\index.dat
- <Текущая директория>\ea86002\d86507d\f6445322dbe3\3f2bmcbwm.dll
- <Текущая директория>\ea86002\b1ced9d
- <Текущая директория>\ea86002\d86507d\a950d47e\6636oavqc.dll
Подменяет следующие файлы
- <Текущая директория>\ea86002\b1ced9d
Сетевая активность
Подключается к
- 'si###loud.com':80
- 'do##in.com':80
- 'ku###hou.com':80
- 'iq##i.com':80
- 'qq.com':80
- 'so##.com':80
- 'jd.com':80
- '16##.com':80
- 'so.com':80
- 'he######.##s-accelerate.aliyuncs.com':80
- 'ba##u.com':80
- 'si###loud.net':80
- '8.##8.87.7':80
- '47.##2.126.205':80
- '8.###.30.151':80
- '8.###.11.147':80
TCP
Запросы HTTP GET
- http://www.si###loud.com/
- http://ya#####g.appchizi.com/kss_admin/
- http://si###loud.net/operate/34489
- http://si###loud.net/operate/38744
- http://si###loud.net/operate/40098
- http://so##.com/
- http://www.ba##u.com/
- http://www.si##.com.cn/
- http://www.so##.com/
- http://www.so.com/
- http://www.so##u.com/
- http://he######.##s-accelerate.aliyuncs.com/2024-05-29/20_58
- http://www.16##.com/
- http://www.do##in.com/
- http://www.jd.com/
- http://www.ku###hou.com/
- http://www.qq.com/
- http://www.iq##i.com/
- http://si###loud.net/operate/22745
- http://si###loud.net/operate/22119
UDP
- DNS ASK si###loud.com
- DNS ASK do##in.com
- DNS ASK ku###hou.com
- DNS ASK iq##i.com
- DNS ASK so##.com
- DNS ASK so##u.com
- DNS ASK qq.com
- DNS ASK si##.com.cn
- DNS ASK so.com
- DNS ASK ba##u.com
- DNS ASK jd.com
- DNS ASK he######.##s-accelerate.aliyuncs.com
- DNS ASK 16##.com
- DNS ASK si###loud.net
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\adobe\i997f3a.exe' WfCSgncfK3R1g5J3HyR6dCV6PHsme04=
