Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'Tencent SecurityHealth' = '"C:\Users\Public\qXHLhT\agVx8A.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\irblj
- <SYSTEM32>\tasks\task1
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\TCLService] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\TCLService] 'ImagePath' = '%WINDIR%\Temp\ranchserv.jpg'
Создает следующие сервисы
- 'TCLService' %WINDIR%\Temp\ranchserv.jpg
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] 'C:\Users\Public\qXHLhT' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%ALLUSERSPROFILE%' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] 'C:\Users' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] 'C:\Program Files (x86)' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%HOMEPATH%\Documents' = '00000000'
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%','C:\Users','C:\Program Files (x86)','C:\' -Force
Патчит код
в динамической библиотеке NTDLL
- Процесс waiosg.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\securityhealthsystray.exe
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\qxhlht\agvx8a.exe
- C:\users\public\qxhlht\uxenhance64.dll
- C:\users\public\qxhlht\msadox.tb
- C:\users\public\qxhlht\adoresd.dat
- %WINDIR%\temp\ranchserv.jpg
- unc\localhost\pipe\atsvc
- <SYSTEM32>\codeintegrity\sipolicy.p7b
- C:\users\public\music\destopbak.ini
- %ProgramFiles(x86)%\3iyqi3\j8eoww.exe
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\public\qxhlht\agvx8a.exe
- C:\users\public\qxhlht\uxenhance64.dll
- C:\users\public\qxhlht\msadox.tb
- C:\users\public\qxhlht\adoresd.dat
Удаляет файлы, которые сам же создал
- <SYSTEM32>\tasks\task1
Сетевая активность
Подключается к
- '26####.###-cn-beijing.aliyuncs.com':443
- '19#.#32.214.172':80
- '14#.#5.118.133':80
- 'mm####.###-cn-hangzhou.aliyuncs.com':443
- '15#.#01.2.133':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?75##############
Другие
- '26####.###-cn-beijing.aliyuncs.com':443
- 'mm####.###-cn-hangzhou.aliyuncs.com':443
UDP
- DNS ASK 26####.###-cn-beijing.aliyuncs.com
- DNS ASK mm####.###-cn-hangzhou.aliyuncs.com
Другое
Создает и запускает на исполнение
- 'C:\users\public\qxhlht\agvx8a.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' cmd.exe /c SCHTASKS /Create /F /TN "Task1" /SC ONCE /ST 00:00 /RL HIGHEST /RU "SYSTEM" /TR "cmd.exe /c reg add \"HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\" /v \"C:\Users\Public... (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /F /TN "Task1" /SC ONCE /ST 00:00 /RL HIGHEST /RU "SYSTEM" /TR "cmd.exe /c reg add \"HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\" /v \"C:\Users\Public\qXHLhT\" /t REG_DWO...
- '<SYSTEM32>\schtasks.exe' /Run /TN "Task1"
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "C:\Users\Public\qXHLhT" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' cmd.exe /c SCHTASKS /Create /F /TN "Task1" /SC ONCE /ST 00:00 /RL HIGHEST /RU "SYSTEM" /TR "cmd.exe /c reg add \"HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\" /v \"%ALLUSERSPROFIL... (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Delete /TN "Task1" /F
- '<SYSTEM32>\schtasks.exe' /Create /F /TN "Task1" /SC ONCE /ST 00:00 /RL HIGHEST /RU "SYSTEM" /TR "cmd.exe /c reg add \"HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\" /v \"%ALLUSERSPROFILE%\" /t REG_DWORD /d...
- '<SYSTEM32>\cmd.exe' cmd.exe /c SCHTASKS /Create /F /TN "Task1" /SC ONCE /ST 00:00 /RL HIGHEST /RU "SYSTEM" /TR "cmd.exe /c reg add \"HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\" /v \"C:\Users\" /t R... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "%ALLUSERSPROFILE%" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\schtasks.exe' /Create /F /TN "Task1" /SC ONCE /ST 00:00 /RL HIGHEST /RU "SYSTEM" /TR "cmd.exe /c reg add \"HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\" /v \"C:\Users\" /t REG_DWORD /d 0 /f"
- '<SYSTEM32>\cmd.exe' cmd.exe /c SCHTASKS /Create /F /TN "Task1" /SC ONCE /ST 00:00 /RL HIGHEST /RU "SYSTEM" /TR "cmd.exe /c reg add \"HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\" /v \"%ProgramFiles(x... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "C:\Users" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\schtasks.exe' /Create /F /TN "Task1" /SC ONCE /ST 00:00 /RL HIGHEST /RU "SYSTEM" /TR "cmd.exe /c reg add \"HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\" /v \"%ProgramFiles(x86)%\" /t REG_DWORD ...
- '<SYSTEM32>\cmd.exe' cmd.exe /c SCHTASKS /Create /F /TN "Task1" /SC ONCE /ST 00:00 /RL HIGHEST /RU "SYSTEM" /TR "cmd.exe /c reg add \"HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\" /v \"%USERPROFILE%\D... (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /F /TN "Task1" /SC ONCE /ST 00:00 /RL HIGHEST /RU "SYSTEM" /TR "cmd.exe /c reg add \"HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\" /v \"%HOMEPATH%\Documents\" /t REG_DWORD...
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "C:\Program Files (x86)" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "%HOMEPATH%\Documents" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "C:\Users\Public\qXHLhT" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "%ALLUSERSPROFILE%" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "C:\Users" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "C:\Program Files (x86)" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "%HOMEPATH%\Documents" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%','C:\Users','C:\Program Files (x86)','C:\' -Force (со скрытым окном)
