Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\acpidisk] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\acpidisk] 'ImagePath' = '<DRIVERS>\acpidisk.sys'
- [HKLM\System\CurrentControlSet\Services\COMLoader] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\COMLoader] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs'
- [HKLM\SYSTEM\CurrentControlSet\Services\COMLoader\Parameters] 'ServiceDll' = '%WINDIR%\inf\dvdromdrv32.inf'
- [HKLM\System\CurrentControlSet\Services\vbgy] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\vbgy] 'ImagePath' = '<SYSTEM32>\rundll32.exe C:\PROGRA~2\qwbt\agld.dll,Service -s'
Создает следующие сервисы
- 'acpidisk' <DRIVERS>\acpidisk.sys
- 'COMLoader' <SYSTEM32>\svchost.exe -k netsvcs
- 'vbgy' <SYSTEM32>\rundll32.exe C:\PROGRA~2\qwbt\agld.dll,Service -s
Вредоносные функции
Ищет следующие окна с целью
обхода различных антивирусов:
- ClassName: 'AVP.AlertDialog', WindowName: 'Ö÷¶¯·ÀÓù'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nst894c.tmp
- %ProgramFiles(x86)%\qwbt\wchz.dll
- %ProgramFiles(x86)%\qwbt\gmrj.lex
- %ProgramFiles(x86)%\qwbt\uafx.ini
- %WINDIR%\syswow64\inf\dotnetfc.exe
- %WINDIR%\syswow64\inf\d03.exe
- %TEMP%\nsia2f3.tmp\system.dll
- %TEMP%\acpidisk.sys
- %TEMP%\nsd9741.tmp\system.dll
- %ProgramFiles%\qwbt\uafx.ini
- %WINDIR%\syswow64\drivers\acpidisk.sys
- %TEMP%\nsda5e0.tmp
- %CommonProgramFiles(x86)%\cpush\uninst.exe
- %CommonProgramFiles(x86)%\cpush\cpush.dll
- %WINDIR%\inf\dotnetfc.exe
- %ProgramFiles(x86)%\qwbt\iotl.dll
- %ProgramFiles(x86)%\qwbt\flqi.dll
- %ProgramFiles(x86)%\qwbt\djog.dll
- %ProgramFiles(x86)%\qwbt\lrwo.ini
- %ProgramFiles(x86)%\qwbt\agld.dll
- %ProgramFiles(x86)%\qwbt\pvas.ini
- %TEMP%\insshell.exe
- %TEMP%\nso9c11.tmp
- %TEMP%\32.exe
- %TEMP%\dosssetup.dll
- %TEMP%\nsy96d3.tmp
- %TEMP%\tbsetup(-33554383).exe
- %TEMP%\h02.exe
- %TEMP%\ad_2500.exe
- %TEMP%\dodolook349.exe
- %TEMP%\my_70008.exe
- %TEMP%\skypeclient.exe
- %WINDIR%\inf\dvdromdrv32.inf
- %WINDIR%\syswow64\mscpx32r.det
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\inf\dvdromdrv32.inf
- %TEMP%\ais_2500_0.exe
Удаляет следующие файлы
- %TEMP%\nsia2f3.tmp\system.dll
- %WINDIR%\inf\dvdromdrv32.inf
- %TEMP%\32.exe
- %TEMP%\acpidisk.sys
- %TEMP%\dosssetup.dll
- %TEMP%\nsd9741.tmp\system.dll
- C:\~ded400.tmp
Перемещает следующие файлы
- %TEMP%\insshell.exe в %TEMP%\ais_2500_0.exe
- %TEMP%\ais_2500_0.exe в C:\~ded400.tmp
Сетевая активность
UDP
- DNS ASK im###.yahoo550.com
- DNS ASK tr####.yahoo550.com
- DNS ASK ya###550.com
- DNS ASK up####.borlander.cn
- DNS ASK bo####der.com.cn
- DNS ASK sp####.yahoo550.com
- DNS ASK ca#.###lander.com.cn
- DNS ASK so##.16990.com
Другое
Ищет следующие окна
- ClassName: '_std_ad_wnd_' WindowName: '_std_ad_wnd_'
- ClassName: '_stdup_cha_wnd_' WindowName: '_stdup_cha_wnd_'
- ClassName: '#32770' WindowName: 'Г—ВўВІГЎВ±ГВѕВЇВёГ¦'
- ClassName: '###McAlertWindow###' WindowName: ''
- ClassName: '#32770' WindowName: 'McAfee Personal Firewall Plus ВѕВЇВ±ВЁ'
- ClassName: 'Afx:400000:0' WindowName: ''
- ClassName: '#32770' WindowName: 'Æ滢360°²È«ÎÀÊ¿'
Создает и запускает на исполнение
- '%TEMP%\skypeclient.exe'
- '%TEMP%\my_70008.exe'
- '%TEMP%\dodolook349.exe'
- '%TEMP%\ad_2500.exe'
- '%TEMP%\h02.exe'
- '%TEMP%\tbsetup(-33554383).exe'
- '%TEMP%\ais_2500_0.exe'
- '%TEMP%\32.exe' 7349
- '%WINDIR%\syswow64\inf\d03.exe'
- '%WINDIR%\syswow64\inf\dotnetfc.exe' /install h02
- '%WINDIR%\inf\dotnetfc.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' /s "%CommonProgramFiles(x86)%\CPUSH\cpush.dll"
- '%WINDIR%\syswow64\rundll32.exe' C:\PROGRA~2\qwbt\agld.dll,Service
- '%WINDIR%\inf\dotnetfc.exe' (со скрытым окном)
