Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\dchk
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM <Имя файла>_upgrade.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\dchk.log
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'c-#.cc':8008
- '1.##.113.218':8008
- 'ap#.#ssida.com':8008
- 'ap##.jssida.com':8008
TCP
Запросы HTTP GET
- http://c-#.cc:8008/App.szb?Pr##################################################################################### via c-#.cc
- http://1.##.#13.218:8008/?C=###### via 1.##.113.218
- http://1.##.#13.218:8008/?C=######### via 1.##.113.218
- http://ap##.##sida.com:8008/?C=######### via ap##.jssida.com
UDP
- DNS ASK c-#.cc
- DNS ASK ap#.#ssida.com
- DNS ASK ap##.jssida.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C del /F /Q "<PATH_SAMPLE>_upgrade.exe" (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /create /sc onstart /tn Dchk /tr "<Полный путь к файлу>" /ru System<Nul (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /sc onstart /tn Dchk /tr "<Полный путь к файлу>" /ru System
- '%WINDIR%\syswow64\taskkill.exe' /F /IM <Имя файла>_upgrade.exe (со скрытым окном)
