Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsPrintManager' = '%ProgramFiles(x86)%\shuaige_86\PrintDialog.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\management\autopilot\printhandler
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\PengPeng] 'ImagePath' = '%ProgramFiles(x86)%\shuaige_86\PengPeng.sys'
Создает следующие сервисы
- 'PengPeng' %ProgramFiles(x86)%\shuaige_86\PengPeng.sys
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM PrintDialog.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM MpCmdRun.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-71ccm.tmp\<Имя файла>.tmp
- %TEMP%\is-h42vi.tmp\_isetup\_setup64.tmp
- %ProgramFiles(x86)%\shuaige_86\is-9sik0.tmp
- %ProgramFiles(x86)%\shuaige_86\is-llrrd.tmp
- %ProgramFiles(x86)%\shuaige_86\is-gnp6l.tmp
- %ProgramFiles(x86)%\shuaige_86\is-i0vu9.tmp
- %ProgramFiles(x86)%\shuaige_86\is-1kdgj.tmp
- %ProgramFiles(x86)%\shuaige_86\is-9kkpe.tmp
- %ProgramFiles(x86)%\shuaige_86\unins000.dat
- %ProgramFiles(x86)%\shuaige_86\pengpeng.sys
- %ProgramFiles(x86)%\shuaige_86\investment proposal.doc
- %ProgramFiles(x86)%\shuaige_86\~$vestment proposal.doc
Присваивает атрибут 'скрытый' для следующих файлов
- %ProgramFiles(x86)%\shuaige_86\pengpeng.sys
Удаляет файлы, которые сам же создал
- %TEMP%\is-h42vi.tmp\_isetup\_setup64.tmp
- %TEMP%\is-71ccm.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %ProgramFiles(x86)%\shuaige_86\is-9sik0.tmp в %ProgramFiles(x86)%\shuaige_86\unins000.exe
- %ProgramFiles(x86)%\shuaige_86\is-llrrd.tmp в %ProgramFiles(x86)%\shuaige_86\printdialog.dll
- %ProgramFiles(x86)%\shuaige_86\is-gnp6l.tmp в %ProgramFiles(x86)%\shuaige_86\msiexec.dll
- %ProgramFiles(x86)%\shuaige_86\is-i0vu9.tmp в %ProgramFiles(x86)%\shuaige_86\printdialog.exe
- %ProgramFiles(x86)%\shuaige_86\is-1kdgj.tmp в %ProgramFiles(x86)%\shuaige_86\6688.exe
- %ProgramFiles(x86)%\shuaige_86\is-9kkpe.tmp в %ProgramFiles(x86)%\shuaige_86\investment proposal.doc
Сетевая активность
Подключается к
- 'ms####nnecttest.com':80
- '19#.#38.184.177':557
TCP
Запросы HTTP GET
- http://www.ms####nnecttest.com/connecttest.txt
Другие
- '19#.#38.184.177':557
UDP
- DNS ASK ms####nnecttest.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-71ccm.tmp\<Имя файла>.tmp' /SL5="$B01C2,1185097,819200,<Полный путь к файлу>"
- '%ProgramFiles(x86)%\shuaige_86\6688.exe'
- '%ProgramFiles(x86)%\shuaige_86\printdialog.exe'
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft office\office16\winword.exe' /n "%ProgramFiles(x86)%\shuaige_86\Investment Proposal.doc" /o ""
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /rl highest /sc onlogon /tn "\Microsoft\Windows\Management\Autopilot\PrintHandler" /tr "\"%ProgramFiles(x86)%\shuaige_86\PrintDialog.exe\"" (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /f /rl highest /sc onlogon /tn "\Microsoft\Windows\Management\Autopilot\PrintHandler" /tr "\"%ProgramFiles(x86)%\shuaige_86\PrintDialog.exe\""
- '%WINDIR%\syswow64\taskkill.exe' /F /IM PrintDialog.exe (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM MpCmdRun.exe (со скрытым окном)
- '%ProgramFiles(x86)%\shuaige_86\6688.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\shuaige_86\printdialog.exe' (со скрытым окном)
