Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] '4EF3FCCB' = '%WINDIR%\4EF3FCCB\svchsot.exe'
Вредоносные функции
Патчит код
в динамической библиотеке
- Процесс snlhnbf.exe, модуль SHELL32.dll
- Процесс iexpoler.exe, модуль GDI32.dll
- Процесс iexpoler.exe, модуль USER32.dll
- Процесс iexpoler.exe, модуль win32u.dll
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\ãâ·ñë¢qq¿õ¼äèëæø±ä쬰æ.exe
- %TEMP%\ãâ·ñë¢qq¿õ¼äèëæø±ä쬰æ.exe
- %TEMP%\iexpoler.exe
- %TEMP%\svchsot.exe
- %WINDIR%\4ef3fccb\svchsot.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\rrzd2q4n\dnserrordiagoff[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\6wt4iemy\navcancl[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\47hs1t1d\errorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\hawo31d1\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\rrzd2q4n\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\6wt4iemy\info_48[1]
- %LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\47hs1t1d\background_gradient[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\hawo31d1\bullet[1]
Сетевая активность
Подключается к
- 'localhost':2012
UDP
- DNS ASK zh#####ngcheng.3322.org
- DNS ASK rq.##kl8.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: '' WindowName: 'ÈðÐdzÌÐòÉý¼¶ÖÐ'
Создает и запускает на исполнение
- '%WINDIR%\temp\ãâ·ñë¢qq¿õ¼äèëæø±ä쬰æ.exe'
- '%TEMP%\iexpoler.exe'
- '%TEMP%\svchsot.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' start "Task Scheduler" (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' start "Task Scheduler"
- '%TEMP%\svchsot.exe' (со скрытым окном)
