Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\Rsfteb qhdksjto] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\Rsfteb qhdksjto] 'ImagePath' = 'C:\Users\Public\Documents\Tencent\WeChat\0\Eqttjx.exe -svc'
Создает следующие сервисы
- 'Rsfteb qhdksjto' C:\Users\Public\Documents\Tencent\WeChat\0\Eqttjx.exe -svc
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
- %WINDIR%\syswow64\dllhost.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\qqpr0tect.exe
- C:\users\public\unityplayer.dll
- C:\users\public\unityplayer.dat
- C:\users\public\documents\tencent\wechat\0\eqttjx.exe
- C:\users\public\documents\tencent\wechat\0\unityplayer.dll
- C:\users\public\documents\tencent\wechat\0\unityplayer.dat
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\public\qqpr0tect.exe
- C:\users\public\unityplayer.dll
- C:\users\public\unityplayer.dat
- C:\users\public\documents\tencent\wechat\0\eqttjx.exe
- C:\users\public\documents\tencent\wechat\0\unityplayer.dll
- C:\users\public\documents\tencent\wechat\0\unityplayer.dat
Перемещает следующие файлы
- C:\users\public\qqpr0tect.exe в %WINDIR%\temp\925444.bak
- C:\users\public\unityplayer.dat в %WINDIR%\temp\925460.bak
- C:\users\public\unityplayer.dll в %WINDIR%\temp\925491.bak
Сетевая активность
Подключается к
- 'lv##y.top':80
- 'lv##y.top':8808
TCP
Запросы HTTP GET
- http://www.lv##y.top/tst2/QQPr0tect
- http://www.lv##y.top/tst2/UnityPlayer
- http://www.lv##y.top/tst2/UnityPlayer.dat
Другие
- 'lv##y.top':8808
UDP
- DNS ASK lv##y.top
Другое
Создает и запускает на исполнение
- 'C:\users\public\qqpr0tect.exe'
- 'C:\users\public\documents\tencent\wechat\0\eqttjx.exe' -svc
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe' -k netsvcs (со скрытым окном)
- '%WINDIR%\syswow64\dllhost.exe' -ks (со скрытым окном)
