Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '<DNS_SERVER>'
- Изменяет DNS-сервер на '114.114.114.114'
Внедряет код в
следующие пользовательские процессы:
- b47d9cba8f.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\<Имя файла>.lnk
- <Текущая директория>\f1206a2\gf749d\e9569dbf\62ddkf0mh.dll
- <Текущая директория>\f1206a2\c667e32100cc\76c5rm7to.dll
- <Текущая директория>\f1206a2\gf749d\f5d60db7c57\2b01gbwid.exe
- <Текущая директория>\f1206a2\e081b2\4c84rm7to.dll
- <Текущая директория>\f1206a2\a4bafd0384\10bh2oj4.dll
- <Текущая директория>\f1206a2\h7076b\2e14ni3pk.dll
- <Текущая директория>\f1206a2\fe15709\3d6edytfa.dll
- <Текущая директория>\f1206a2\ae5e6bcaad3\2c1coj4ql.dll
- <Текущая директория>\f1206a2\f8258c5\b71esn8up.dll
- <Текущая директория>\f1206a2\gf749d\f249c5f2\b465upbwr.dll
- <Текущая директория>\f1206a2\gf749d\a1b53eb\4ffctoavq.dll
- <Текущая директория>\f1206a2\gf749d\d9ade022\1686l6sn8.dll
- <Текущая директория>\f1206a2\gf749d\f7ba32\d23bezlg1.dll
- <Текущая директория>\f1206a2\gf749d\i81f2c4\9b852oj4q.dll
- <Текущая директория>\f1206a2\gf749d\i34a8e464\63492oj4q.dll
- <Текущая директория>\f1206a2\gf749d\cb861e0\2bd8ni3pk.dll
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012024053020240531\index.dat
- <Текущая директория>\f1206a2\c49c814ff5
- %ProgramFiles(x86)%\opera\b47d9cba8f.exe
- <Текущая директория>\f1206a2\gf749d\e09460\b47d9cba8f.ini
- <Текущая директория>\f1206a2\gf749d\d9ade022\686cidykf.dll
Удаляет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012024053020240531\index.dat
- <Текущая директория>\f1206a2\gf749d\d9ade022\686cidykf.dll
- <Текущая директория>\f1206a2\c49c814ff5
Подменяет следующие файлы
- <Текущая директория>\f1206a2\c49c814ff5
Сетевая активность
Подключается к
- 'ba##u.com':80
- '8.##8.87.7':80
- '8.###.11.147':80
- '8.###.30.151':80
- 'cd##m.cn':80
- 'te##ent.com':80
- 'xi#########.oss-accelerate.aliyuncs.com':80
- 'fo###ate.net':80
- 'jm#.com.cn':80
- 'ha##23.com':80
- 'ea###oney.com':80
- 'yo##ao.com':80
- '16##.com':80
- 'so##.com':80
- 'so.com':80
- 'jd.com':80
- '47.##2.126.205':80
- 'si###loud.net':80
TCP
Запросы HTTP GET
- http://www.jd.com/
- http://si###loud.net/operate/38744
- http://si###loud.net/operate/34489
- http://si###loud.net/operate/40098
- http://www.cd##m.cn/
- http://www.ha##23.com/
- http://www.te##ent.com/
- http://fo###ate.net/
- http://www.jm#.com.cn/
- http://yo##ao.com/
- http://so##.com/
- http://xi#########.oss-accelerate.aliyuncs.com/2024-05-30/15_48
- http://www.ea###oney.com/
- http://www.so.com/
- http://www.16##.com/
- http://www.ba##u.com/
- http://ya#####g.appchizi.com/kss_admin/
- http://si###loud.net/operate/22745
UDP
- DNS ASK so.com
- DNS ASK ba##u.com
- DNS ASK so##.com
- DNS ASK jd.com
- DNS ASK 16##.com
- DNS ASK ha##23.com
- DNS ASK yo##ao.com
- DNS ASK fo###ate.net
- DNS ASK jm#.com.cn
- DNS ASK cd##m.cn
- DNS ASK ea###oney.com
- DNS ASK xi#########.oss-accelerate.aliyuncs.com
- DNS ASK te##ent.com
- DNS ASK si###loud.net
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\opera\b47d9cba8f.exe' WfCSgHYqdHaSdiQmfTx7JntO
