Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\TDFaGyLum4WrK] 'ImagePath' = '<DRIVERS>\4ADIXWcZnj1A.sys'
- [HKLM\System\CurrentControlSet\Services\7nns1idAwo] 'ImagePath' = '<DRIVERS>\5ewsCYJCtB.lkx'
- [HKLM\System\CurrentControlSet\Services\cMZqgBWqswq] 'ImagePath' = '<SYSTEM32>\tCfEOmZAAOTC.sys'
- [HKLM\System\CurrentControlSet\Services\XMJC3jks2TrK] 'ImagePath' = '<SYSTEM32>\YS1UShB71K5.vxo'
- [HKLM\System\CurrentControlSet\Services\D4Pcp0oZK98Kr] 'ImagePath' = '%WINDIR%\IKZIl7cYBXlhT.sys'
- [HKLM\System\CurrentControlSet\Services\xwjuT237aCQB] 'ImagePath' = '<DRIVERS>\mtdv5YeOvo79eM.sys'
- [HKLM\System\CurrentControlSet\Services\qziatuHNV] 'ImagePath' = '<DRIVERS>\BK0EC3UpE.sys'
Создает следующие сервисы
- 'TDFaGyLum4WrK' <DRIVERS>\4ADIXWcZnj1A.sys
- '7nns1idAwo' <DRIVERS>\5ewsCYJCtB.lkx
- 'cMZqgBWqswq' <SYSTEM32>\tCfEOmZAAOTC.sys
- 'XMJC3jks2TrK' <SYSTEM32>\YS1UShB71K5.vxo
- 'D4Pcp0oZK98Kr' %WINDIR%\IKZIl7cYBXlhT.sys
- 'xwjuT237aCQB' <DRIVERS>\mtdv5YeOvo79eM.sys
- 'qziatuHNV' <DRIVERS>\BK0EC3UpE.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\drivers\4adixwcznj1a.sys
- %WINDIR%\syswow64\drivers\5ewscyjctb.lkx
- %WINDIR%\syswow64\tcfeomzaaotc.sys
- %WINDIR%\syswow64\ys1ushb71k5.vxo
- %WINDIR%\ikzil7cybxlht.sys
- %ProgramFiles%\convert.exe
- <DRIVERS>\mtdv5yeovo79em.sys
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\8hlqqq.cat
- <DRIVERS>\bk0ec3upe.sys
Удаляет следующие файлы
- %WINDIR%\syswow64\drivers\4adixwcznj1a.sys
- %WINDIR%\syswow64\drivers\5ewscyjctb.lkx
- %WINDIR%\syswow64\tcfeomzaaotc.sys
- %WINDIR%\syswow64\ys1ushb71k5.vxo
Сетевая активность
Подключается к
- 'dn#.#lidns.com':443
- 'dn#.#lidns.com':80
- 'xc#.#ycsl.top':80
- 'ap##.#ame.qq.com':80
- 'sp#.#aidu.com':80
TCP
Запросы HTTP GET
- http://dn#.#lidns.com/resolve?na#######################
- http://xc#.#cslw.top/pgm/mds/186dc678628340ee/219c906140f2c06be2e3db6296e78091a34c8da1c928895b64.zip
- http://xc#.#cslw.top/pgm/mds/62761afc2f0d796a/a4fa2c8d00fc0abae2e3db6296e78091112c7b6cfbdbf26a64.zip
- http://xc#.#cslw.top/pgm/mds/8a535297eaa802d1/17d0ec639db40991bbe7c285bb4fe48e0f26e9808f1e227964.zip
- http://xc#.#cslw.top/pgm/mds/05631e93ccdb00ee/1d3049b187ce606623cd71ca2f04529ace43d0e0c871205264.zip
- http://xc#.#cslw.top/cfg/pub/ps.json
- http://xc#.#cslw.top/cfg/pub/ms.json
- http://xc#.#cslw.top/cfg/user/c995ec7fd4f57c0d/e691ad375852f8cd.json
- http://xc#.#cslw.top/cfg/cmc/blacklist.txt
- http://sp#.#aidu.com/8aQDcjqpAAV3otqbppnN2DJv/api.php?qu###############################################################
- http://ap##.#ame.qq.com/comm-htdocs/ip/get_ip.php
- http://xc#.#cslw.top/cfg/cmc/userpq.zip
- http://xc#.#cslw.top/cfg/cmc/userchange.txt
- http://xc#.#cslw.top/cfg/cmc/ping.txt
- http://xc#.#cslw.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip
- http://xc#.#cslw.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip.md5.txt
- http://xc#.#cslw.top/pgm/mds/865609897d54b79b/2cc3b5fea2ff6d3e83136443a846e0673d9dae844e2e4ecf64.zip
- http://xc#.#cslw.top/pgm/mds/71600c65a728333a/c57d344613ba8549426e5dbea86f249c6c935a8eac4509a264.zip
Другие
- 'dn#.#lidns.com':443
UDP
- DNS ASK xc#.#ycsl.top
- DNS ASK dn#.#lidns.com
- DNS ASK xc#.#cslw.top
- DNS ASK ap##.#ame.qq.com
- DNS ASK sp#.#aidu.com
- '23#.#23.112.211':51701
- '23#.2.2.2':18804
Другое
Создает и запускает на исполнение
- '%ProgramFiles%\convert.exe'
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%ProgramFiles%\convert.exe"
