Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'system' = '<SYSTEM32>\system.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\Tencent\QQPCMgr\Download\SFX\QQPCDownload.exe' = '%APPDATA%\Tencent\QQPCMgr\Download\SFX\QQPCDownload.exe:*:Enabled:Tencent Download Program'
Создает и запускает на исполнение:
- '<Полный путь к вирусу>'
- '%APPDATA%\Tencent\QQPCMgr\Download\SFX\QQPCDownload.exe' ##CMD=1;supplyid=60224;productname=腾讯电脑管家;target=1;cgi=http://c.##.qq.com/fcgi-bin/downurlquery?id######################
- '<SYSTEM32>\system.exe'
- '%PROGRAM_FILES%\AAV\K200.exe'
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' stop MpsSvc
- '<SYSTEM32>\net1.exe' stop WinDefend
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\dhaet.dll Exucute
- '<SYSTEM32>\sc.exe' stop PolicyAgent
- '<SYSTEM32>\sc.exe' config MpsSvc start= disabled
- '<SYSTEM32>\net.exe' stop WinDefend
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\cchfo.dll Exxcute
- '<SYSTEM32>\sc.exe' config WinDefend start= disabled
- '<SYSTEM32>\net.exe' stop MpsSvc
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Tencent\QQPCMgr\Download\version.tdl
- %APPDATA%\Tencent\QQPCMgr\Download\SFX\dr.dll
- %TEMP%\1.tmp
- %ALLUSERSPROFILE%\Application Data\Tencent\Desktop\Global.db
- %APPDATA%\Tencent\QQPCMgr\Download\SFX\dr.ini
- %ALLUSERSPROFILE%\Application Data\Tencent\QQDownload\mediadlp.cch
- %APPDATA%\Tencent\QQDownload\3905207810\Setting\p2pconfig.dat
- %APPDATA%\Tencent\QQDownload\3905207810\Setting\host.dat
- %ALLUSERSPROFILE%\Application Data\Tencent\QQDownload\mediadl.cch
- %PROGRAM_FILES%\AAV\CDriver.sys
- %PROGRAM_FILES%\AAV\K200.exe
- <SYSTEM32>\system.exe
- <SYSTEM32>\cchfo.dll
- <Полный путь к вирусу>
- %PROGRAM_FILES%\AAV\CDriver.Inf
- <SYSTEM32>\dhaet.dll
- %APPDATA%\Tencent\QQPCMgr\Download\SFX\QQPCDownload.exe
- %APPDATA%\Tencent\QQPCMgr\Download\SFX\dlcore.dll
Удаляет следующие файлы:
- %APPDATA%\Tencent\QQPCMgr\Download\SFX\dr.dll
- %APPDATA%\Tencent\QQPCMgr\Download\SFX\dlcore.dll
- %APPDATA%\Tencent\QQPCMgr\Download\SFX\dr.ini
- %APPDATA%\Tencent\QQPCMgr\Download\version
- %PROGRAM_FILES%\AAV\K200.exe
- %PROGRAM_FILES%\AAV\CDriver.sys
- %PROGRAM_FILES%\AAV\CDriver.Inf
Перемещает следующие файлы:
- %APPDATA%\Tencent\QQPCMgr\Download\version.tdl в %APPDATA%\Tencent\QQPCMgr\Download\version
- <SYSTEM32>\system.exe в <SYSTEM32>\system.exe
Самоперемещается:
- из <Полный путь к вирусу> в <Полный путь к вирусу>t
Сетевая активность:
Подключается к:
- 'c.##.qq.com':80
- 'xf.####-doctor.qq.com':443
- 'dt##.##l-quality.qq.com':80
- 'fs#####-doctor.qq.com':443
- 'ts###.w3g7j.com':8080
- 'fs######onn-doctor.qq.com':443
- 'lo####p2p.qq.com':443
TCP:
Запросы HTTP GET:
- c.##.qq.com/fcgi-bin/downurlquery?id###################################################################################################
Запросы HTTP POST:
- dt##.##l-quality.qq.com/urlquality/dtrp?v=#########################################
UDP:
- DNS ASK c.##.qq.com
- DNS ASK dt##.##l-quality.qq.com
- DNS ASK fs#####-doctor.qq.com
- DNS ASK fs###.qq.com
- DNS ASK fs######back-doctor.qq.com
- DNS ASK ma####.#tl.desktop.qq.com
- DNS ASK xf.####-doctor.qq.com
- DNS ASK dt##.#ingpin.qq.com
- DNS ASK cf#.#f.qq.com
- DNS ASK fs#####rt-doctor.qq.com
- DNS ASK pd####doctor.qq.com
- DNS ASK fs######onn-doctor.qq.com
- DNS ASK ts###.w3g7j.com
- DNS ASK lo####p2p.qq.com
- 'any':0
- 'cf#.#f.qq.com':8090
- 'pd####doctor.qq.com':8000
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'MiniSniffer'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'LogView_qqpcmgr' WindowName: '(null)'
