Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\Rsemgw qeigyoqw] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\Rsemgw qeigyoqw] 'ImagePath' = 'C:\Users\Default\AppData\Local\Microsoft\Office\zgjNrdc\Ucwaig.exe -svc'
Создает следующие сервисы
- 'Rsemgw qeigyoqw' C:\Users\Default\AppData\Local\Microsoft\Office\zgjNrdc\Ucwaig.exe -svc
Вредоносные функции
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' (загружен из сети Интернет)
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
- %WINDIR%\syswow64\dllhost.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\dwin
- %HOMEPATH%\downloads\z6100.exe
- %HOMEPATH%\downloads\unityplayer.dll
- %HOMEPATH%\downloads\unityplayer.dat
- %HOMEPATH%\downloads\zldel_6100.bat
- nul
- C:\users\default\appdata\local\microsoft\office\zgjnrdc\ucwaig.exe
- C:\users\default\appdata\local\microsoft\office\zgjnrdc\unityplayer.dll
- C:\users\default\appdata\local\microsoft\office\zgjnrdc\unityplayer.dat
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\default\appdata\local\microsoft\office\zgjnrdc\ucwaig.exe
- C:\users\default\appdata\local\microsoft\office\zgjnrdc\unityplayer.dll
- C:\users\default\appdata\local\microsoft\office\zgjnrdc\unityplayer.dat
Перемещает следующие файлы
- %HOMEPATH%\downloads\z6100.exe в %WINDIR%\temp\880921.bak
- %HOMEPATH%\downloads\unityplayer.dat в %WINDIR%\temp\880953.bak
- %HOMEPATH%\downloads\unityplayer.dll в %WINDIR%\temp\880984.bak
Сетевая активность
Подключается к
- '10#.#4.205.86':16698
- '23.##2.132.67':8808
TCP
Запросы HTTP GET
- http://10#.##.205.86:16698/r8002/UnityPlayer.dat?t=################# via 10#.#4.205.86
Другие
- '15#.#01.65.91':443
- '23.##2.132.67':8808
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\downloads\z6100.exe'
- 'C:\users\default\appdata\local\microsoft\office\zgjnrdc\ucwaig.exe' -svc
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "%HOMEPATH%\Downloads\zldel_6100.bat" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 2
- '%WINDIR%\syswow64\svchost.exe' -k netsvcs (со скрытым окном)
- '%WINDIR%\syswow64\dllhost.exe' -ks (со скрытым окном)
