Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\Miner\Miner.exe' = '%PROGRAM_FILES%\Miner\Miner.exe:*:Enabled:QvodPlayer'
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Miner\Miner.exe'
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'Filemonclass' WindowName: '(null)'
- ClassName: 'Regmonclass' WindowName: '(null)'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\f44b3411-6ae3-46e8-9d05-f43f31e1c621
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\62B5AF9BE9ADC1085C3C56EC07A82BF6
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\62B5AF9BE9ADC1085C3C56EC07A82BF6
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %ALLUSERSPROFILE%\Application Data\Miner\TaskCfg.dbx
- %ALLUSERSPROFILE%\Application Data\Miner\TaskCfg.dbx-journal
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %PROGRAM_FILES%\Miner\Miner.exe
- %ALLUSERSPROFILE%\Application Data\Miner\Miner.xml
- %ALLUSERSPROFILE%\Application Data\Miner\Users\Psw
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\60E31627FDA0A46932B0E5948949F2A5
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\8DFDF057024880D7A081AFBF6D26B92F
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\8DFDF057024880D7A081AFBF6D26B92F
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\60E31627FDA0A46932B0E5948949F2A5
Удаляет следующие файлы:
- %ALLUSERSPROFILE%\Application Data\Miner\TaskCfg.dbx-journal
Сетевая активность:
Подключается к:
- 'cl####fg.kuaibo.com':8054
- 'vl####4.yunfan.com':80
- 'up####.kuaibo.com':80
- 'wp#d':80
- 'crl.verisign.com':80
- 'cs######0-crl.verisign.com':80
TCP:
Запросы HTTP GET:
- cs######0-crl.verisign.com/CSC3-2010.crl
- up####.kuaibo.com/agent.cfg
- crl.verisign.com/pca3-g5.crl
- wp#d/wpad.dat
- crl.verisign.com/pca3.crl
UDP:
- DNS ASK st##.kuaibo.com
- DNS ASK ag###.##ogin4.yunfan.com
- DNS ASK st####.kuaibo.com
- DNS ASK ag###.kuaibo.com
- DNS ASK up####.kuaibo.com
- DNS ASK cl###.kuaibo.com
- DNS ASK pr####d.kuaibo.com
- DNS ASK wp#d
- DNS ASK cs######0-crl.verisign.com
- DNS ASK crl.verisign.com
- DNS ASK dy#.#uaibo.com
- DNS ASK cl####fg.kuaibo.com
- DNS ASK vl####4.yunfan.com
- '23#.#55.255.250':1900
- 'cl###.kuaibo.com':80
- '<IP-адрес в локальной сети>':1900
- 'st##.kuaibo.com':3478
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '????????????'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '4823-00000029' WindowName: '(null)'
- ClassName: '18467-41' WindowName: '(null)'
