Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsPrintManager' = '%ProgramFiles(x86)%\output_86\PrintDialog.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\management\autopilot\printhandler
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\PengPeng] 'ImagePath' = '%ProgramFiles(x86)%\output_86\PengPeng.sys'
Создает следующие сервисы
- 'PengPeng' %ProgramFiles(x86)%\output_86\PengPeng.sys
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM PrintDialog.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM MpCmdRun.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-v5d8v.tmp\<Имя файла>.tmp
- %TEMP%\is-h2uno.tmp\_isetup\_setup64.tmp
- %ProgramFiles(x86)%\output_86\is-adtfc.tmp
- %ProgramFiles(x86)%\output_86\is-6i2go.tmp
- %ProgramFiles(x86)%\output_86\is-gssfv.tmp
- %ProgramFiles(x86)%\output_86\is-m1a57.tmp
- %ProgramFiles(x86)%\output_86\is-00hdr.tmp
- %ProgramFiles(x86)%\output_86\is-8gcg4.tmp
- %ProgramFiles(x86)%\output_86\unins000.dat
- %ProgramFiles(x86)%\output_86\pengpeng.sys
- %ProgramFiles(x86)%\output_86\~$401k_withdrawal_tax_&_fee_analysis_report_for_kenny_anderson.pptx
Присваивает атрибут 'скрытый' для следующих файлов
- %ProgramFiles(x86)%\output_86\pengpeng.sys
Удаляет файлы, которые сам же создал
- %TEMP%\is-h2uno.tmp\_isetup\_setup64.tmp
- %TEMP%\is-v5d8v.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %ProgramFiles(x86)%\output_86\is-adtfc.tmp в %ProgramFiles(x86)%\output_86\unins000.exe
- %ProgramFiles(x86)%\output_86\is-6i2go.tmp в %ProgramFiles(x86)%\output_86\printdialog.dll
- %ProgramFiles(x86)%\output_86\is-gssfv.tmp в %ProgramFiles(x86)%\output_86\msiexec.dll
- %ProgramFiles(x86)%\output_86\is-m1a57.tmp в %ProgramFiles(x86)%\output_86\printdialog.exe
- %ProgramFiles(x86)%\output_86\is-00hdr.tmp в %ProgramFiles(x86)%\output_86\6688.exe
- %ProgramFiles(x86)%\output_86\is-8gcg4.tmp в %ProgramFiles(x86)%\output_86\401k_withdrawal_tax_&_fee_analysis_report_for_kenny_anderson.pptx
Сетевая активность
Подключается к
- 'ms####nnecttest.com':80
- '10#.#87.43.136':558
TCP
Запросы HTTP GET
- http://www.ms####nnecttest.com/connecttest.txt
Другие
- '10#.#87.43.136':558
UDP
- DNS ASK ms####nnecttest.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-v5d8v.tmp\<Имя файла>.tmp' /SL5="$B02D6,1274230,826368,<Полный путь к файлу>"
- '%ProgramFiles(x86)%\output_86\6688.exe'
- '%ProgramFiles(x86)%\output_86\printdialog.exe'
Запускает на исполнение
- '%ProgramFiles(x86)%\microsoft office\office16\powerpnt.exe' "%ProgramFiles(x86)%\output_86\401k_Withdrawal_Tax_&_Fee_Analysis_Report_for_Kenny_Anderson.pptx" /ou ""
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /rl highest /sc onlogon /tn "\Microsoft\Windows\Management\Autopilot\PrintHandler" /tr "\"%ProgramFiles(x86)%\output_86\PrintDialog.exe\"" (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /f /rl highest /sc onlogon /tn "\Microsoft\Windows\Management\Autopilot\PrintHandler" /tr "\"%ProgramFiles(x86)%\output_86\PrintDialog.exe\""
- '%WINDIR%\syswow64\taskkill.exe' /F /IM PrintDialog.exe (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM MpCmdRun.exe (со скрытым окном)
- '%ProgramFiles(x86)%\output_86\6688.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\output_86\printdialog.exe' (со скрытым окном)
