Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '<Текущая директория>\rmuru0.exe' (загружен из сети Интернет)
Патчит код
в динамической библиотеке
- Процесс setup.exe, модуль KERNELBASE.dll
- Процесс setup.exe, модуль KERNEL32.dll
- Процесс marketsetup_243988.exe, модуль SHELL32.dll
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\rmuru0.exe
- <Текущая директория>\360se+243988+n451d131e9c.exe
- %TEMP%\cr_344fb.tmp\setup.ex_
- %TEMP%\cr_344fb.tmp\setup.exe
- %LOCALAPPDATA%low\palminput\dict\palminput-pyuser-v3.2.7.1060.pidic
- %LOCALAPPDATA%low\palminput\dict\palminput-fixedtop-v3.2.7.1060.pidic
- %LOCALAPPDATA%low\palminput\dict\palminput-website-v3.2.7.1060.pidic
- %LOCALAPPDATA%low\palminput\dict\palminput-mail-v3.2.7.1060.pidic
- %LOCALAPPDATA%low\palminput\dict\palminput-pyfuzzy-v3.2.7.1060.pidic
- %LOCALAPPDATA%low\palminput\dict\palminput-specphrase-v3.2.7.1060.pidic
Удаляет файлы, которые сам же создал
- %TEMP%\cr_344fb.tmp\setup.ex_
Сетевая активность
Подключается к
- '0.##zxt.com':80
- '15#.#58.24.162':80
- 'do####3.uqitong.com':443
TCP
Запросы HTTP GET
- http://0.##zxt.com/0l.txt
- http://15#.#58.24.162/uqcjjj
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?dc##############
Другие
- 'do####3.uqitong.com':443
UDP
- DNS ASK 0.##zxt.com
- DNS ASK do####3.uqitong.com
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\rmuru0.exe'
- '<Текущая директория>\360se+243988+n451d131e9c.exe' --silent-install=3_1_1
- '%TEMP%\cr_344fb.tmp\setup.exe' --exe-path="<Текущая директория>\360se+243988+n451d131e9c.exe" --silent-install=3_1_1
Запускает на исполнение
- '%WINDIR%\syswow64\regedit.exe' /s "<Текущая директория>\1.reg" (со скрытым окном)
- '%WINDIR%\syswow64\regedit.exe' /s <Текущая директория>\1.reg (со скрытым окном)
- '%WINDIR%\syswow64\cacls.exe' "%ProgramFiles%\xt" /e /t /p everyone:f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v xt /f (со скрытым окном)
- '%WINDIR%\syswow64\systeminfo.exe' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\PalmInputTSF.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s <SYSTEM32>\PalmInputTSF.dll
- '<SYSTEM32>\regsvr32.exe' /s "%ProgramFiles(x86)%\360\360zip\360ZipExt64.dll"
- '<Текущая директория>\rmuru0.exe' (со скрытым окном)
- '<Текущая директория>\360se+243988+n451d131e9c.exe' --silent-install=3_1_1 (со скрытым окном)
- '<Текущая директория>\marketsetup_243988.exe' /C 243988 /S (со скрытым окном)
- '%ProgramFiles(x86)%\palminput\3.2.7.1060\palminputstartup.exe' (со скрытым окном)
- '<Текущая директория>\360zip_yqlm_243988.exe' /S /pid=yqlm (со скрытым окном)
