Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\m2g0tv9u1] 'ImagePath' = '%WINDIR%\ovcg0ble\m2g0tv9u1.sys'
- [HKLM\System\CurrentControlSet\Services\fnziesouj] 'ImagePath' = '%WINDIR%\wdeemxy\fnziesouj.sys'
Создает следующие сервисы
- 'm2g0tv9u1' %WINDIR%\ovcg0ble\m2g0tv9u1.sys
- 'fnziesouj' %WINDIR%\wdeemxy\fnziesouj.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Регистрирует фильтр файловой системы
- [HKLM\System\CurrentControlSet\Services\m2g0tv9u1] 'Group' = 'FSFilter Activity Monitor'
- [HKLM\System\CurrentControlSet\Services\fnziesouj] 'Group' = 'FSFilter Activity Monitor'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\w8wcrsb\adhlog.txt
- %WINDIR%\w8wcrsb\module\feedbacktest3\adh\pcinfodrv_procexit.log
- %WINDIR%\w8wcrsb\module\feedbacktest3\sppsvc.exe
- %WINDIR%\w8wcrsb\module\feedbacktest3\adh\pcinfodrv_file.log
- %WINDIR%\w8wcrsb\module\feedbacktest3\adh\uploadfile\hosts
- %WINDIR%\w8wcrsb\module\feedbacktest3\adh\pcinfodrv.log
- %WINDIR%\w8wcrsb\module\daidai\daidai.zip.__md5.txt
- %WINDIR%\w8wcrsb\module\daidai\daidai.exe
- %WINDIR%\w8wcrsb\module\daidai\icon.exe
- %WINDIR%\w8wcrsb\module\daidai\loaddaidai.exe
- %WINDIR%\w8wcrsb\module\daidai\zc_run_module.bat
- %WINDIR%\w8wcrsb\module\daidai\daidai.zip
- %WINDIR%\w8wcrsb\module\feedbacktest3\adh\pcregmon.log
- %WINDIR%\wdeemxy\fnziesouj.sys
- <SYSTEM32>\pcminfo_helper.sys
- nul
- %WINDIR%\w8wcrsb\module\feedbacktest3\feedbacktest3.zip.__md5.txt
- %WINDIR%\w8wcrsb\module\feedbacktest3\services.exe
- %WINDIR%\w8wcrsb\module\feedbacktest3\feedbacktest3.bat
- %WINDIR%\w8wcrsb\module\feedbacktest3\remote.exe
- %WINDIR%\w8wcrsb\module\feedbacktest3\feedbacktest3.zip
- %WINDIR%\w8wcrsb\dr.dat
- %WINDIR%\w8wcrsb\module\feedbacktest3\adh\pcrecord.log
- %WINDIR%\w8wcrsb\module\controlwindow\hkthunk.dll
- %WINDIR%\w8wcrsb\module\feedbacktest3\adh\pcinfodrv_proc.log
- %WINDIR%\w8wcrsb\module\log_y\local state
- %WINDIR%\w8wcrsb\module\log_y\default\preferences
- %WINDIR%\w8wcrsb\module\log_y\log_y.zip
- %WINDIR%\w8wcrsb\module\feedbacktest3\svchost.exe
- %WINDIR%\w8wcrsb\module\feedbacktest3\logt.dll
- %ALLUSERSPROFILE%\ddpw_ggls\zc_run_module.bat
- %ALLUSERSPROFILE%\ddpw_ggls\loaddaidai.exe
- %ALLUSERSPROFILE%\ddpw_ggls\icon.exe
- %ALLUSERSPROFILE%\ddpw_ggls\daidai.zip.__md5.txt
- %ALLUSERSPROFILE%\ddpw_ggls\daidai.zip
- %WINDIR%\cw.dat
- %WINDIR%\w8wcrsb\module\feedbacktest3\adh\pcinfodrv_pc.log
- %WINDIR%\w8wcrsb\module\log_w\logw.dll
- %WINDIR%\w8wcrsb\module\log_w\log_w.zip
- %WINDIR%\w8wcrsb\module\log_t\log_t.zip.__md5.txt
- %WINDIR%\w8wcrsb\module\log_t\log_t.bat
- %WINDIR%\w8wcrsb\module\log_t\a.exe
- %WINDIR%\w8wcrsb\module\log_t\a.dll
- %WINDIR%\w8wcrsb\module\log_t\log_t.zip
- %WINDIR%\w8wcrsb\module\log_d\log_d.zip.__md5.txt
- %WINDIR%\w8wcrsb\module\log_d\logd.dll
- %WINDIR%\w8wcrsb\module\log_d\log_d.zip
- %WINDIR%\w8wcrsb\module\log_w\log_w.zip.__md5.txt
- %WINDIR%\w8wcrsb\module\feedbacktest3\adh\pcnetconn.log
- <SYSTEM32>\ucv37kb8n0luk
- <SYSTEM32>\6ucv37kb8n0luk
- %WINDIR%\syswow64\d_yx8.dll
- %WINDIR%\w8wcrsb\ui\commmon.png
- %WINDIR%\w8wcrsb\ui\preventnumber.png
- %WINDIR%\w8wcrsb\ui\networkshield.png
- %WINDIR%\w8wcrsb\ui\navigationbar.bmp
- %WINDIR%\w8wcrsb\ui\icon.png
- %WINDIR%\w8wcrsb\ui\horizontal_border.bmp
- %WINDIR%\w8wcrsb\ui\firewall_ok.png
- %WINDIR%\w8wcrsb\ui\firewall.png
- %WINDIR%\w8wcrsb\ui\examine_background.bmp
- %WINDIR%\w8wcrsb\module\controlwindow\controlwindow.dll
- %WINDIR%\w8wcrsb\module\log_y\file.txt
- %WINDIR%\w8wcrsb\ui\search_bg.png
- %WINDIR%\w8wcrsb\ui\cloud.png
- %WINDIR%\w8wcrsb\adhres.zip
- %WINDIR%\w8wcrsb\ui\button_pushed.png
- %WINDIR%\w8wcrsb\ui\button_normal.png
- %WINDIR%\ovcg0ble\m2g0tv9u1.sys
- %WINDIR%\w8wcrsb\ui\button_hover.png
- %WINDIR%\w8wcrsb\ui\bg.jpg
- %WINDIR%\w8wcrsb\ui\antivirus.png
- %WINDIR%\w8wcrsb\ui\adhuires.zip
- %WINDIR%\w8wcrsb\dv.dat
- %WINDIR%\w8wcrsb\ui\computerexamine.xml
- %ALLUSERSPROFILE%\ddpw_ggls\daidai.exe
- %WINDIR%\w8wcrsb\ui\skin.xml
- %WINDIR%\w8wcrsb\module\controlwindow\controlwindow.dll.__config.ini
- %WINDIR%\w8wcrsb\ui\skin.xml.bak
- <SYSTEM32>\d_yx8.dll
- %WINDIR%\w8wcrsb\cw.dat
- %WINDIR%\w8wcrsb\adhdriverlog.txt
- %WINDIR%\w8wcrsb\ui\vertical_border.bmp
- %WINDIR%\w8wcrsb\ui\toolbar_pushed.png
- %WINDIR%\w8wcrsb\ui\toolbar_normal.png
- %WINDIR%\w8wcrsb\ui\toolbar_hover.png
- %WINDIR%\w8wcrsb\ui\tabbar_pushed.png
- %WINDIR%\w8wcrsb\module\controlwindow\remote.exe
- %WINDIR%\w8wcrsb\ui\softwaremanager.png
- %WINDIR%\w8wcrsb\ui\tabbar_normal.png
- %WINDIR%\w8wcrsb\ui\scrollbar.bmp
- %WINDIR%\w8wcrsb\nononouse.txt
- %WINDIR%\w8wcrsb\ui\tabbar_hover.png
- %WINDIR%\w8wcrsb\ui\sys_dlg_restore.png
- %WINDIR%\w8wcrsb\ui\sys_dlg_min.png
- %WINDIR%\w8wcrsb\module\controlwindow\glla.exe
- %WINDIR%\w8wcrsb\ui\sys_dlg_menu.png
- %WINDIR%\w8wcrsb\ui\sys_dlg_max.png
- %WINDIR%\w8wcrsb\ui\sys_dlg_close.png
- %WINDIR%\w8wcrsb\module\controlwindow\cwapi_32.dll
- %WINDIR%\w8wcrsb\module\controlwindow\hkthunk64.dll
- %WINDIR%\w8wcrsb\module\log_y\logy.dll
Удаляет следующие файлы
- %WINDIR%\w8wcrsb\adhres.zip
- %WINDIR%\w8wcrsb\ui\adhuires.zip
- %WINDIR%\ovcg0ble\m2g0tv9u1.sys
- <SYSTEM32>\pcminfo_helper.sys
- <DRIVERS>\etc\hosts
- %WINDIR%\wdeemxy\fnziesouj.sys
- %ALLUSERSPROFILE%\ddpw_ggls\icon.exe
- %ALLUSERSPROFILE%\ddpw_ggls\daidai.exe
Изменяет следующие файлы
- %HOMEPATH%\desktop\google chrome.lnk
- C:\users\public\desktop\firefox.lnk
Подменяет следующие файлы
- %WINDIR%\ovcg0ble\m2g0tv9u1.sys
- %WINDIR%\wdeemxy\fnziesouj.sys
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность
Подключается к
- '2.###ywl.com':6611
- '2.###ywl.com':80
- 'cd#.##nter66.com':80
- 'r.###ywl.com':80
- 'wb##9.com':80
- 'cd#.#b009.com':80
- 'yw##wl.com':80
TCP
Запросы HTTP GET
- http://2.###ywl.com/index.php/client_get_data/get_agent_module/agent_name/agent_test?ts#########
- http://wb##9.com/index.php/client_get_data/get_agent_module_param?ag##################################################################
- http://cd#.#b009.com/adhunter/Log_W.zip
- http://yw##wl.com/index.php/client_get_data/get_agent_module_param?ag##################################################################
- http://2.###ywl.com/index.php/client_download/download/type/module/id/1910?ts##################
- http://cd#.#b009.com/adhunter/Log_T.zip
- http://2.###ywl.com/index.php/client_download/download/type/module/id/1949?ts##################
- http://cd#.#b009.com/adhunter/Log_D.zip
- http://2.###ywl.com/index.php/client_download/download/type/module/id/1943?ts##################
- http://2.###ywl.com/index.php/client_download/download/type/module/id/1635?ts##################
- http://r.###ywl.com/index.php/yjs/get_config?ag#################################
- http://cd#.##nter66.com/adhunter/daidai.zip
- http://2.###ywl.com/index.php/client_download/download/type/module/id/1561?ts##################
- http://cd#.##nter66.com/adhunter/Feedbacktest3.zip
- http://2.###ywl.com/index.php/client_download/download/type/module/id/1802?ts##################
- http://2.###ywl.com/index.php/client_get_data/get_agent_module/agent_name/xiong1810/rmac/0A0027000035?ts#########
- http://2.###ywl.com/index.php/client_get_data/get_client_param/agent_name/xiong1810/mac/028ADD207235/?ts#########
- http://wb##9.com/index.php/client_get_data/get_agent_module_param?ag###############################################################################
- http://cd#.#b009.com/adhunter/Log_Y.zip
Другие
- '3.###ywl.com':6611
UDP
- DNS ASK 3.###ywl.com
- DNS ASK wb##9.com
- DNS ASK r.###ywl.com
- DNS ASK cd#.##nter66.com
- DNS ASK ca#####rt.minibai.com
- DNS ASK cc######eport.minibai.com
- DNS ASK ap#.###aris.icloud.cn
- DNS ASK as.##103.online
- DNS ASK at#.##104.online
- DNS ASK cd#.#b009.com
- DNS ASK ap#.#566331.com
- DNS ASK mz.##102.online
- DNS ASK th.##104.online
- DNS ASK qd#.##101.online
- DNS ASK po####.iliao8.com
- DNS ASK lo#.#wang8.com
- DNS ASK po####.iwang8.com
- DNS ASK ud#.#xwan.com
- DNS ASK dx.###ip.iego.cn
- DNS ASK 2.###ywl.com
- DNS ASK df#.#55422.live
- DNS ASK yw##wl.com
- '255.255.255.255':8844
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: 'Program Manager'
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\w8wcrsb\module\feedbacktest3\services.exe'
- '%WINDIR%\w8wcrsb\module\daidai\daidai.exe'
- '%WINDIR%\w8wcrsb\module\daidai\loaddaidai.exe'
- '%ALLUSERSPROFILE%\ddpw_ggls\icon.exe' -id 1 -param eyJiYXJJRCI6ICIzNTQyIiwgImljb25OdW0iOiAxfQ==
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\w8wcrsb\Module\daidai\zc_run_module.bat (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del /q "%ALLUSERSPROFILE%\ddpw_ggls\icon.exe" (со скрытым окном)
- '<SYSTEM32>\wbem\winmgmt.exe' /resetrepository (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c type %WINDIR%\w8wcrsb\Module\Log_Y\file.txt
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\w8wcrsb\Module\Log_Y\Log_Y.bat (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\w8wcrsb\Module\Log_T\Log_T.bat (со скрытым окном)
- '<SYSTEM32>\ping.exe' 127.0.1 -n 12
- '<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\SYSTEM\nds /v Admin
- '<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\NXD\SUPER /v Admin
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\w8wcrsb\Module\Nav5\zc_run_module.bat (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c dir /b %HOMEPATH%\Desktop\*.*
- '<SYSTEM32>\reg.exe' query "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /v desktop
- '<SYSTEM32>\cmd.exe' /c reg query "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /v desktop
- '<SYSTEM32>\ping.exe' 127.0.1 -n 5
- '<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet /v superadmin
- '<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\SOFTWARE\EYOOCLIENTSTATUS /v SuperLogin
- '<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\iCafe8 /v Admin
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\w8wcrsb\Module\Feedbacktest3\Feedbacktest3.bat (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\w8wcrsb\Module\WxPlugin\WxPlugin.bat (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c dir /b C:\Users\Public\Desktop\*.*
- '%ALLUSERSPROFILE%\ddpw_ggls\icon.exe' -id 1 -param eyJiYXJJRCI6ICIzNTQyIiwgImljb25OdW0iOiAxfQ== (со скрытым окном)
- '%WINDIR%\w8wcrsb\module\nav5\nav5.exe' (со скрытым окном)
- '%WINDIR%\w8wcrsb\module\daidai\daidai.exe' (со скрытым окном)
