Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'system' = '<SYSTEM32>\system.exe'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\Driver] 'ImagePath' = 'C:\Driver.sys'
Создает следующие сервисы
- 'Driver' C:\Driver.sys
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- qvodВІВҐ~1.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ixp000.tmp\qvodВІВҐ~1.exe
- %TEMP%\ixp000.tmp\qqqqqs~1.exe
- C:\driver.sys
- C:\pci.sys
- %WINDIR%\syswow64\sih.dll
- %WINDIR%\syswow64\gol.dll
- %TEMP%\1036.tmp
Удаляет следующие файлы
- C:\pci.sys
- C:\driver.sys
Перемещает следующие файлы
- %TEMP%\ixp000.tmp\qvodВІВҐ~1.exe в %WINDIR%\syswow64\system.exe
Сетевая активность
Подключается к
- '22#.#94.134.216':80
UDP
- DNS ASK up###e.qvod.com
- DNS ASK tr###.qvod.com
- DNS ASK st##.qvod.com
- DNS ASK st####.sipphone.com
- DNS ASK ag###.qvod.com
- '1.#.0.127':65535
- '23#.#55.255.250':1900
- '61.##9.219.200':80
Другое
Создает и запускает на исполнение
- '%TEMP%\ixp000.tmp\qvodВІВҐ~1.exe'
- '%TEMP%\ixp000.tmp\qqqqqs~1.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\sc.exe' delete McProxy (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete McSysmon (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop McSysmon (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete mcmscsvc (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop mcmscsvc (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete McODS (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop McODS (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete McShield (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop McShield (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\gol.dll Execute
- '%WINDIR%\syswow64\sc.exe' stop McProxy (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete MpfService (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop MpfService (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete McNASvc (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop McNASvc (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete RsRavMon (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop RsRavMon (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete 360rp (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop 360rp (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\sih.dll Execute
- '%WINDIR%\syswow64\sc.exe' stop ekrn (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete ekrn (со скрытым окном)
- '%TEMP%\ixp000.tmp\qvodВІВҐ~1.exe' (со скрытым окном)
- '%TEMP%\ixp000.tmp\qqqqqs~1.exe' (со скрытым окном)
