Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\HzqzDOyzevf] 'ImagePath' = '<DRIVERS>\vULc4R4Vms.sys'
- [HKLM\System\CurrentControlSet\Services\F7lxrGRD6NG] 'ImagePath' = '<DRIVERS>\U93rrdqHL5PlB.wfe'
- [HKLM\System\CurrentControlSet\Services\KqmifJ9Qawni] 'ImagePath' = '<SYSTEM32>\sJssWCEMTnEetT.sys'
- [HKLM\System\CurrentControlSet\Services\q2GL7eis8TpQS] 'ImagePath' = '<SYSTEM32>\NqKihpiMbs.hmf'
- [HKLM\System\CurrentControlSet\Services\7FRigknhXG] 'ImagePath' = '%WINDIR%\DIbJUNXJrnQXaI.sys'
- [HKLM\System\CurrentControlSet\Services\lupbtG6e] 'ImagePath' = '<DRIVERS>\J7RkCYPUv.sys'
Создает следующие сервисы
- 'HzqzDOyzevf' <DRIVERS>\vULc4R4Vms.sys
- 'F7lxrGRD6NG' <DRIVERS>\U93rrdqHL5PlB.wfe
- 'KqmifJ9Qawni' <SYSTEM32>\sJssWCEMTnEetT.sys
- 'q2GL7eis8TpQS' <SYSTEM32>\NqKihpiMbs.hmf
- '7FRigknhXG' %WINDIR%\DIbJUNXJrnQXaI.sys
- 'lupbtG6e' <DRIVERS>\J7RkCYPUv.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\drivers\vulc4r4vms.sys
- %WINDIR%\syswow64\drivers\u93rrdqhl5plb.wfe
- %WINDIR%\syswow64\sjsswcemtneett.sys
- %WINDIR%\syswow64\nqkihpimbs.hmf
- %WINDIR%\dibjunxjrnqxai.sys
- %ALLUSERSPROFILE%\bcdboot.exe
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\cqj73sj.cat
- <DRIVERS>\j7rkcypuv.sys
Удаляет следующие файлы
- %WINDIR%\syswow64\drivers\vulc4r4vms.sys
- %WINDIR%\syswow64\drivers\u93rrdqhl5plb.wfe
- %WINDIR%\syswow64\sjsswcemtneett.sys
- %WINDIR%\syswow64\nqkihpimbs.hmf
- %WINDIR%\dibjunxjrnqxai.sys
Самоудаляется.
Сетевая активность
Подключается к
- 'dn#.#lidns.com':443
- 'dn#.#lidns.com':80
- 'xc#.#freedy.xyz':80
- 'xc#.#ycsl.top':80
- 'xc#.#freedy.xyz':443
- 'ap##.#ame.qq.com':80
- 'oc##.##ust-provider.cn':80
- 'sp#.#aidu.com':80
TCP
Запросы HTTP GET
- http://dn#.#lidns.com/resolve?na#######################
- http://nr#.#freedy.xyz/report/report_data?da#####################################################################################################################################################...
- http://xc#.#freedy.xyz/pgm/mds/71600c65a728333a/c57d344613ba8549426e5dbea86f249c6c935a8eac4509a264.zip
- http://xc#.#freedy.xyz/cfg/pub/ps.json
- http://xc#.#freedy.xyz/cfg/pub/ms.json
- http://xc#.#freedy.xyz/cfg/user/c995ec7fd4f57c0d/0d78fe00f48f2148.json
- http://xc#.#freedy.xyz/cfg/cmc/blacklist.txt
- http://sp#.#aidu.com/8aQDcjqpAAV3otqbppnN2DJv/api.php?qu###############################################################
- http://oc##.##ust-provider.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTRK6%2BKMEm7xEAA7oRlXypSzGx%2FAgQUyPPFCRszol%2BmEquQ1gC2XPyNHAYCEFjJ5Z0VGk%2Fu62Kowy9UMAQ%3D
- http://ap##.#ame.qq.com/comm-htdocs/ip/get_ip.php
- http://xc#.#freedy.xyz/cfg/cmc/userpq.zip
- http://xc#.#freedy.xyz/cfg/cmc/userchange.txt
- http://xc#.#freedy.xyz/cfg/cmc/ping.txt
- http://xc#.#freedy.xyz/pgm/mpr/c995ec7fd4f57c0d/0d78fe00f48f2148.zip
- http://xc#.#freedy.xyz/pgm/mpr/c995ec7fd4f57c0d/0d78fe00f48f2148.zip.md5.txt
- http://dn#.#lidns.com/resolve?na#########################
- http://xc#.#freedy.xyz/cfg/cmc/ppmldb
- http://nr#.#freedy.xyz/report.php?da#############################################################################################################################################################...
Другие
- 'dn#.#lidns.com':443
- 'xc#.#ycsl.top':443
UDP
- DNS ASK xc#.#ycsl.top
- DNS ASK dn#.#lidns.com
- DNS ASK xc#.#freedy.xyz
- DNS ASK ap##.#ame.qq.com
- DNS ASK oc##.##ust-provider.cn
- DNS ASK sp#.#aidu.com
- '23#.#23.112.211':41725
- '23#.2.2.2':13265
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\bcdboot.exe'
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 1 & del /Q /F "<Полный путь к файлу>" (со скрытым окном)
- '%WINDIR%\syswow64\timeout.exe' /t 1
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%ALLUSERSPROFILE%\bcdboot.exe"
