Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsPrintManager' = '%ProgramFiles(x86)%\RUYI_86\PrintDialog.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\management\autopilot\printhandler
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\PengPeng] 'ImagePath' = '%ProgramFiles(x86)%\RUYI_86\PengPeng.sys'
Создает следующие сервисы
- 'PengPeng' %ProgramFiles(x86)%\RUYI_86\PengPeng.sys
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM PrintDialog.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM MpCmdRun.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-j0ss9.tmp\<Имя файла>.tmp
- %TEMP%\is-m2gep.tmp\_isetup\_setup64.tmp
- %ProgramFiles(x86)%\ruyi_86\is-cubmk.tmp
- %ProgramFiles(x86)%\ruyi_86\is-cllp1.tmp
- %ProgramFiles(x86)%\ruyi_86\is-v9pda.tmp
- %ProgramFiles(x86)%\ruyi_86\is-ts9rv.tmp
- %ProgramFiles(x86)%\ruyi_86\is-pfrjh.tmp
- %ProgramFiles(x86)%\ruyi_86\is-2qpgj.tmp
- %ProgramFiles(x86)%\ruyi_86\unins000.dat
- %ProgramFiles(x86)%\ruyi_86\pengpeng.sys
Присваивает атрибут 'скрытый' для следующих файлов
- %ProgramFiles(x86)%\ruyi_86\pengpeng.sys
Удаляет файлы, которые сам же создал
- %TEMP%\is-m2gep.tmp\_isetup\_setup64.tmp
- %TEMP%\is-j0ss9.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %ProgramFiles(x86)%\ruyi_86\is-cubmk.tmp в %ProgramFiles(x86)%\ruyi_86\unins000.exe
- %ProgramFiles(x86)%\ruyi_86\is-cllp1.tmp в %ProgramFiles(x86)%\ruyi_86\printdialog.dll
- %ProgramFiles(x86)%\ruyi_86\is-v9pda.tmp в %ProgramFiles(x86)%\ruyi_86\msiexec.dll
- %ProgramFiles(x86)%\ruyi_86\is-ts9rv.tmp в %ProgramFiles(x86)%\ruyi_86\printdialog.exe
- %ProgramFiles(x86)%\ruyi_86\is-pfrjh.tmp в %ProgramFiles(x86)%\ruyi_86\6688.exe
- %ProgramFiles(x86)%\ruyi_86\is-2qpgj.tmp в %ProgramFiles(x86)%\ruyi_86\decoy_8419844720.jpg
Сетевая активность
Подключается к
- 'ms####nnecttest.com':80
- '19#.#38.184.168':557
TCP
Запросы HTTP GET
- http://www.ms####nnecttest.com/connecttest.txt
Другие
- '19#.#38.184.168':557
UDP
- DNS ASK ms####nnecttest.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'NarratorUIClass' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-j0ss9.tmp\<Имя файла>.tmp' /SL5="$1101DE,1249874,826880,<Полный путь к файлу>"
- '%ProgramFiles(x86)%\ruyi_86\6688.exe'
- '%ProgramFiles(x86)%\ruyi_86\printdialog.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /rl highest /sc onlogon /tn "\Microsoft\Windows\Management\Autopilot\PrintHandler" /tr "\"%ProgramFiles(x86)%\RUYI_86\PrintDialog.exe\"" (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /f /rl highest /sc onlogon /tn "\Microsoft\Windows\Management\Autopilot\PrintHandler" /tr "\"%ProgramFiles(x86)%\RUYI_86\PrintDialog.exe\""
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '%WINDIR%\syswow64\taskkill.exe' /F /IM PrintDialog.exe (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM MpCmdRun.exe (со скрытым окном)
- '%ProgramFiles(x86)%\ruyi_86\6688.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\ruyi_86\printdialog.exe' (со скрытым окном)
