Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\QKARDrv] 'Start' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\QKARDrv] 'ImagePath' = 'system32\Drivers\QKARDrv.sys'
- [HKLM\SYSTEM\ControlSet001\services\QKARDrv] 'Start' = '00000000'
Создает следующие сервисы
- 'QKARDrv' <DRIVERS>\QKARDrv.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath 'C:\Users'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath '<SYSTEM32>'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionProcess 'Dism.exe'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionProcess 'where.exe'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionExtension '.tmp'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionExtension '.zip'"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\dism.exe
Патчит код
в динамической библиотеке
- Процесс dism.exe, модуль IPHLPAPI.DLL
- Процесс dism.exe, модуль CI.dll
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\rkcrwiqf\8ozpbyoohzq.tmp
- %ALLUSERSPROFILE%\rkcrwiqf\fky_d3.zip
- %ALLUSERSPROFILE%\rkcrwiqf\prophylactic.msi
- %WINDIR%\temp\~dfbf7b3e3a1cda2331.tmp
- %WINDIR%\installer\sourcehash{27b05ca8-f1de-4496-be49-fd9c50fac16d}
- %WINDIR%\temp\~df35615af70896997d.tmp
- %WINDIR%\temp\~df1469b67df80445e4.tmp
- %WINDIR%\temp\~df3d5ff5505faf061f.tmp
- %APPDATA%\68-new-1.4.7-win-x64-setup\68-new-1.4.7-win-x64-setup\babysrk.dll
- %APPDATA%\68-new-1.4.7-win-x64-setup\68-new-1.4.7-win-x64-setup\resource.png
- %APPDATA%\68-new-1.4.7-win-x64-setup\68-new-1.4.7-win-x64-setup\vcruntime140_1.dll
- %APPDATA%\68-new-1.4.7-win-x64-setup\68-new-1.4.7-win-x64-setup\msvcp140.dll
- %APPDATA%\68-new-1.4.7-win-x64-setup\68-new-1.4.7-win-x64-setup\vcruntime140.dll
- %APPDATA%\68-new-1.4.7-win-x64-setup\68-new-1.4.7-win-x64-setup\flashcenter_pp_ax_install_cn.exe
- %APPDATA%\68-new-1.4.7-win-x64-setup\68-new-1.4.7-win-x64-setup\emjio.tmp
- %ALLUSERSPROFILE%\_caphyon\skin_compress_dlg.xml
- %ALLUSERSPROFILE%\_caphyon\skin_main.xml
- %ALLUSERSPROFILE%\_caphyon\skin_select_folder.xml
- %ALLUSERSPROFILE%\_caphyon\tb_btn_test.png
- %ALLUSERSPROFILE%\_caphyon\aiview_btn_next.png
- %ALLUSERSPROFILE%\_caphyon\app_bg2.png
- %ALLUSERSPROFILE%\_caphyon\app_camera.png
- %ALLUSERSPROFILE%\_caphyon\app_honeyview.png
- %ALLUSERSPROFILE%\_caphyon\app_wooting.xml
- %ALLUSERSPROFILE%\_caphyon\resource.h
- %APPDATA%\68-new-1.4.7-win-x64-setup\68-new-1.4.7-win-x64-setup\j.xml
- %APPDATA%\ku7tnzp0albd\emjio.tmp
- %APPDATA%\ku7tnzp0albd\hallahs.exe
- %APPDATA%\ku7tnzp0albd\msvcp140.dll
- %APPDATA%\ku7tnzp0albd\sandrockmultiplayerbase.dll
- %APPDATA%\ku7tnzp0albd\vcruntime140.dll
- %APPDATA%\ku7tnzp0albd\vcruntime140_1.dll
- %ALLUSERSPROFILE%\venlnk\ntr_jing.lnk
- %WINDIR%\temp\~dfc9f94b30d071b243.tmp
- %WINDIR%\temp\~dfaae023dd4caeb6a5.tmp
- %WINDIR%\temp\~df25f18d34805644aa.tmp
- %WINDIR%\temp\~dfe4ddac45a9e97d28.tmp
- %WINDIR%\temp\~dfecabd28ea0020a8b.tmp
- %WINDIR%\temp\~dffb3f4e7baf31aab1.tmp
- %WINDIR%\temp\~dfa287d8744f18eddd.tmp
- %WINDIR%\temp\~dfd7a1dc6e990ebe89.tmp
- %APPDATA%\adobe\h13589495311653745775.ini
- C:\users\public\venwin.lock
- %ALLUSERSPROFILE%\console\pu_5.bin
- %ALLUSERSPROFILE%\console\pd_5.bin
- <DRIVERS>\qkardrv.sys
- %ALLUSERSPROFILE%\console\pu_13.bin
- %ALLUSERSPROFILE%\console\pd_13.bin
Удаляет файлы, которые сам же создал
- %ALLUSERSPROFILE%\rkcrwiqf\fky_d3.zip
- %ALLUSERSPROFILE%\rkcrwiqf\8ozpbyoohzq.tmp
- %ALLUSERSPROFILE%\rkcrwiqf\prophylactic.msi
Сетевая активность
Подключается к
- 'eu#######.#3.ap-east-1.amazonaws.com':443
- 'ba##u.com':443
- '19#.#32.214.172':80
- '15#.#01.2.133':80
- '10#.#7.128.131':5178
- '10#.#7.128.131':6539
- '10#.#7.128.131':6595
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?ed##############
Другие
- 'eu#######.#3.ap-east-1.amazonaws.com':443
- 'ba##u.com':443
- '10#.#7.128.131':5178
- '10#.#7.128.131':6539
- '10#.#7.128.131':6595
UDP
- DNS ASK eu#######.#3.ap-east-1.amazonaws.com
- DNS ASK ba##u.com
Другое
Запускает на исполнение
- '<SYSTEM32>\msiexec.exe' /i "%ALLUSERSPROFILE%\rkcrwiqf\prophylactic.msi" /qn (со скрытым окном)
- '<SYSTEM32>\dism.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -EncodedCommand JABjAHMAPQBAACcADQAKAHUAcwBpAG4AZwAgAFMAeQBzAHQAZQBtADsADQAKAHUAcwBpAG4AZwAgAFMAeQBzAHQAZQBtAC4AUgB1AG4AdABpAG0AZQAuAEkAbgB0AGUAcgBvA... (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\xjhikevy.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES53A5.tmp" "%TEMP%\CSC8E64A956AA934C0B9E74BF83FC3E27AF.TMP" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath 'C:\Users'" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%'" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath '<SYSTEM32>'" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionProcess 'Dism.exe'" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionProcess 'where.exe'" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionExtension '.tmp'" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionExtension '.zip'" (со скрытым окном)
