Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Synaptics Pointing Device Driver' = '%ALLUSERSPROFILE%\Synaptics\Synaptics.exe'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\Phxphx Qiyqh] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\Phxphx Qiyqh] 'ImagePath' = 'C:\\Program Files\\Aqiyq.exe -auto'
Создает следующие сервисы
- 'Phxphx Qiyqh' C:\\Program Files\\Aqiyq.exe -auto
Заражает следующие исполняемые файлы
- %HOMEPATH%\desktop\notepad.exe
- %HOMEPATH%\desktop\winmine.exe
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\._cache_<Имя файла>.exe
- %ALLUSERSPROFILE%\synaptics\synaptics.exe
- %ALLUSERSPROFILE%\synaptics\rcxcaec.tmp
- %ProgramFiles%\aqiyq.exe
- <Текущая директория>\._cache_synaptics.exe
- nul
- %TEMP%\ctqyrclu.exe
- %TEMP%\rcxf3d0.tmp
- %TEMP%\ctqyrclu.ico
- %TEMP%\rcxf631.tmp
- %TEMP%\rnss8owc.exe
- %TEMP%\rcxf92e.tmp
- %TEMP%\rnss8owc.ico
- %TEMP%\rcxfb80.tmp
- %TEMP%\pq5ngp8.ini
Присваивает атрибут 'скрытый' для следующих файлов
- <Текущая директория>\._cache_<Имя файла>.exe
- %ALLUSERSPROFILE%\synaptics\synaptics.exe
- <Текущая директория>\._cache_synaptics.exe
Удаляет следующие файлы
- %TEMP%\ctqyrclu.exe
- %TEMP%\ctqyrclu.ico
- <Текущая директория>\._cache_<Имя файла>.exe
- %TEMP%\rnss8owc.exe
- %TEMP%\rnss8owc.ico
- <Текущая директория>\._cache_synaptics.exe
Перемещает следующие файлы
- %ALLUSERSPROFILE%\synaptics\rcxcaec.tmp в %ALLUSERSPROFILE%\synaptics\synaptics.exe
- %TEMP%\rcxf3d0.tmp в %TEMP%\ctqyrclu.exe
- %TEMP%\rcxf631.tmp в %TEMP%\ctqyrclu.exe
- %TEMP%\rcxf92e.tmp в %TEMP%\rnss8owc.exe
- %TEMP%\rcxfb80.tmp в %TEMP%\rnss8owc.exe
Сетевая активность
Подключается к
- 'co##############e-chains.prod.autograph.services.mozaws.net':443
- 'im####.huabianyl.com':443
- '13#.#22.189.188':14994
- 'fr####s.afraid.org':80
- 'docs.google.com':443
- 'pk#.goog':80
- 'drive.usercontent.google.com':443
TCP
Запросы HTTP GET
- http://fr####s.afraid.org/api/?ac###########################################################
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'im####.huabianyl.com':443
- 'docs.google.com':443
- 'drive.usercontent.google.com':443
UDP
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
- DNS ASK im####.huabianyl.com
- DNS ASK hz#.##ox0xox0.com
- DNS ASK xr##.mooo.com
- DNS ASK fr####s.afraid.org
- DNS ASK docs.google.com
- DNS ASK pk#.goog
- DNS ASK drive.usercontent.google.com
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'MS_WINHELP' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\._cache_<Имя файла>.exe'
- '%ProgramFiles%\aqiyq.exe' -auto
- '%ALLUSERSPROFILE%\synaptics\synaptics.exe' InjUpdate
- '%ProgramFiles%\aqiyq.exe' -acsi
- '<Текущая директория>\._cache_synaptics.exe' InjUpdate
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' \c ping -n 2 127.0.0.1 > nul && del <Текущая директория>\_CACHE~1.EXE > nul (со скрытым окном)
- '%WINDIR%\syswow64\ping.exe' -n 2 127.0.0.1
- '%WINDIR%\syswow64\cmd.exe' \c ping -n 2 127.0.0.1 > nul && del <Текущая директория>\_CACHE~2.EXE > nul (со скрытым окном)
