Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\Webview Helper] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\Webview Helper] 'ImagePath' = 'cmd /c cd /d "C:\Users\Public\Videos\qgD8Vjyy\" && start "" "C:\Users\Public\Videos\qgD8Vjyy\qgD8Vjyy.exe"'
Создает следующие сервисы
- 'Webview Helper' cmd /c cd /d "C:\Users\Public\Videos\qgD8Vjyy\" && start "" "C:\Users\Public\Videos\qgD8Vjyy\qgD8Vjyy.exe"
Вредоносные функции
Патчит код
в динамической библиотеке
- Процесс qgd8vjyy.exe, модуль obs-browser-page.exe
в динамической библиотеке NTDLL
- Процесс lsgop.exe, модуль ntdll.dll
- Процесс app.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\readme.md
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\install.exe
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\app.exe._
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\web.dat
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\view.dat
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\app.exe
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\view.conf
- %TEMP%\tencent\androws\androws_install.log
- %APPDATA%\tencent\beacon\globalmgr.db
- C:\users\public\videos\jbjxwdzt
- C:\users\public\videos\qgd8vjyy\readme.md
- C:\users\public\videos\qgd8vjyy\view.conf
- %ALLUSERSPROFILE%\view.conf
- C:\users\public\videos\qgd8vjyy\1059.exe
- C:\users\public\videos\qgd8vjyy\faq.md
- C:\users\public\videos\qgd8vjyy\libcef.dll
- C:\users\public\videos\qgd8vjyy\license.md
- %WINDIR%\temp\~pp7ad9.tmp
- %WINDIR%\temp\~pp7b08.tmp
- C:\androws_temp.txt
- D:\androws_temp.txt
- %APPDATA%\tencent\androws\db\bc_0win0gia035unmf7_0e.db-journal
- %APPDATA%\tencent\androws\db\bc_0win0gia035unmf7_0e.db
- %APPDATA%\tencent\androws\db\bc_0win0gia035unmf7_0e.db-shm
- %APPDATA%\tencent\androws\db\bc_0win0gia035unmf7_0e.db-wal
- %APPDATA%\tencent\androws\db\otable.db-journal
- %APPDATA%\tencent\androws\db\otable.db
- %APPDATA%\tencent\androws\db\otable.db-shm
- %APPDATA%\tencent\androws\db\otable.db-wal
Удаляет файлы, которые сам же создал
- C:\users\public\videos\jbjxwdzt
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\app.exe._
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\view.dat
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\web.dat
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\readme.md
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\view.conf
- %WINDIR%\temp\~pp7ad9.tmp
- %WINDIR%\temp\~pp7b08.tmp
- C:\androws_temp.txt
- D:\androws_temp.txt
- %APPDATA%\tencent\androws\db\bc_0win0gia035unmf7_0e.db-journal
- %APPDATA%\tencent\androws\db\otable.db-journal
Перемещает следующие файлы
- C:\users\public\videos\qgd8vjyy\1059.exe в C:\users\public\videos\qgd8vjyy\qgd8vjyy.exe
- %ALLUSERSPROFILE%\quga3dnzthrpv3k4\app.exe в \:dsl
Подменяет следующие файлы
- %APPDATA%\tencent\androws\db\bc_0win0gia035unmf7_0e.db-journal
Сетевая активность
Подключается к
- 'localhost':49695
- 'localhost':49697
- 'localhost':49699
- 'localhost':49701
- '19#.#29.116.49':30003
TCP
Другие
- 'localhost':49695
- 'localhost':49697
- 'localhost':49698
- 'localhost':49699
- 'localhost':49701
- 'localhost':49702
UDP
- DNS ASK yy#####cess.3g.qq.com
- DNS ASK ot#.##e.mdt.qq.com
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\quga3dnzthrpv3k4\app.exe'
- '%ALLUSERSPROFILE%\quga3dnzthrpv3k4\install.exe'
- 'C:\users\public\videos\qgd8vjyy\qgd8vjyy.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c cd /d "C:\Users\Public\Videos\qgD8Vjyy\" && start "" "C:\Users\Public\Videos\qgD8Vjyy\qgD8Vjyy.exe"
