Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,7...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000012] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,7...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000013] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,7...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000014] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,7...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,7...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,7...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,73,79,73,74,65,6d,33,32,5c,7...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000012] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000013] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\ws2ifsl] 'Start' = '00000001'
Создает следующие сервисы
- 'WS2IFSL' <DRIVERS>\ws2ifsl.sys
Подменяет следующие исполняемые системные файлы
- %WINDIR%\SysWOW64\IPHLPAPI.DLL файлом %WINDIR%\syswow64\123a9b7.tmp
- %WINDIR%\SysWOW64\rasadhlp.dll файлом %WINDIR%\syswow64\123bbb2.tmp
- %WINDIR%\SysWOW64\midimap.dll файлом %WINDIR%\syswow64\123c46a.tmp
Заражает следующие исполняемые файлы
- %WINDIR%\syswow64\123a9b7.tmp
- %WINDIR%\syswow64\123bbb2.tmp
- %WINDIR%\syswow64\123c46a.tmp
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im GamePlaza.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im "GamePlaza.exe"
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\77778(ko).exe
- %WINDIR%\temp\cl11.exe
- %WINDIR%\temp\server.exe
- %WINDIR%\syswow64\zzxxcck.dll
- %WINDIR%\temp\2.bat
- %WINDIR%\syswow64\123a9b7.tmp
- %WINDIR%\syswow64\dllcache\iphlpapi.dll
- %WINDIR%\syswow64\123bbb2.tmp
- %WINDIR%\syswow64\dllcache\rasadhlp.dll
- %WINDIR%\syswow64\123c46a.tmp
- %WINDIR%\syswow64\dllcache\midimap.dll
- %CommonProgramFiles(x86)%\sxcl.tmp
- %WINDIR%\syswow64\sxload.tmp
- %WINDIR%\temp\1.bat
Удаляет следующие файлы
- %WINDIR%\temp\cl11.exe
Перемещает следующие файлы
- %WINDIR%\temp\server.exe в %WINDIR%\xxxxxx21991be8.exe
Подменяет следующие файлы
- %WINDIR%\temp\2.bat
Сетевая активность
Подключается к
- '18#.#0.204.61':8000
- 'localhost':8000
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\temp\server.exe'
- '%WINDIR%\temp\cl11.exe'
- '%WINDIR%\temp\77778(ko).exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c 2.bat (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c takeown /f "%WINDIR%\syswow64"
- '%WINDIR%\syswow64\takeown.exe' /f "%WINDIR%\syswow64"
- '%WINDIR%\syswow64\icacls.exe' "%WINDIR%\syswow64" /grant administrators:F
- '%WINDIR%\syswow64\cmd.exe' /c 1.bat (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im GamePlaza.exe (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im "GamePlaza.exe" (со скрытым окном)
