Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\TaskWorker] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\TaskWorker] 'ImagePath' = 'cmd /c cd /d "C:\Drivers\nZPf" && start "" "C:\Drivers\nZPf\lfrSQ9.exe"'
Создает следующие сервисы
- 'TaskWorker' cmd /c cd /d "C:\Drivers\nZPf" && start "" "C:\Drivers\nZPf\lfrSQ9.exe"
Вредоносные функции
Запускает большое число процессов
Патчит код
в динамической библиотеке
- Процесс lfrsq9.exe, модуль AEPIC.dll
- Процесс lfrsq9.exe, модуль apphelp.dll
в динамической библиотеке AMSI
- Процесс lfrsq9.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс lfrsq9.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-qc3km.tmp\<Имя файла>.tmp
- %TEMP%\is-6i1ba.tmp\_isetup\_setup64.tmp
- C:\drivers\nzpf\is-8vdi6.tmp
- C:\drivers\nzpf\is-j923r.tmp
- C:\drivers\nzpf\is-oi68d.tmp
- C:\drivers\nzpf\is-pglsd.tmp
- C:\drivers\nzpf\is-b2iin.tmp
- C:\drivers\nzpf\is-7litf.tmp
- C:\drivers\nzpf\is-engrf.tmp
- C:\drivers\nzpf\is-ivrqn.tmp
- C:\drivers\haz\is-vk558.tmp
- C:\drivers\xzqpi4\is-o4o15.tmp
- %HOMEPATH%\desktop\kuailianpc-64.lnk
Удаляет файлы, которые сам же создал
- %TEMP%\is-6i1ba.tmp\_isetup\_setup64.tmp
- %TEMP%\is-qc3km.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- C:\drivers\nzpf\is-8vdi6.tmp в C:\drivers\nzpf\9psem3vwtd9.guj
- C:\drivers\nzpf\is-j923r.tmp в C:\drivers\nzpf\apcyszrsxq.hf
- C:\drivers\nzpf\is-oi68d.tmp в C:\drivers\nzpf\lfrsq9.exe
- C:\drivers\nzpf\is-pglsd.tmp в C:\drivers\nzpf\libfilezilla-58.dll
- C:\drivers\nzpf\is-b2iin.tmp в C:\drivers\nzpf\libgcc_s_seh-1.dll
- C:\drivers\nzpf\is-7litf.tmp в C:\drivers\nzpf\libstdc++-6.dll
- C:\drivers\nzpf\is-engrf.tmp в C:\drivers\nzpf\ne.qd
- C:\drivers\nzpf\is-ivrqn.tmp в C:\drivers\nzpf\um30vz.kb
- C:\drivers\haz\is-vk558.tmp в C:\drivers\haz\installer.exe
- C:\drivers\xzqpi4\is-o4o15.tmp в C:\drivers\xzqpi4\123.png
Другое
Создает и запускает на исполнение
- '%TEMP%\is-qc3km.tmp\<Имя файла>.tmp' /SL5="$E01D8,30869391,832512,<Полный путь к файлу>"
- 'C:\drivers\nzpf\lfrsq9.exe'
Запускает на исполнение
- '<SYSTEM32>\sc.exe' create TaskWorker binPath= "cmd /c cd /d \"C:\Drivers\nZPf\" && start \"\" \"C:\Drivers\nZPf\lfrSQ9.exe\"" start= auto (со скрытым окном)
- '<SYSTEM32>\sc.exe' failure TaskWorker reset= 0 actions= restart/1000 (со скрытым окном)
- '<SYSTEM32>\sc.exe' start TaskWorker (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd /d "C:\Drivers\nZPf" && start "" "C:\Drivers\nZPf\lfrSQ9.exe"
- '<SYSTEM32>\sc.exe' start VSS (со скрытым окном)
