Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\pclidec2] 'Start' = '00000002'
Заражает следующие исполняемые системные файлы:
- %TEMP%\qq2.tmp_tmp
Вредоносные функции:
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtDeviceIoControlFile, драйвер-обработчик: rasacd.sys
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\self.bat
- %TEMP%\qq2.tmp_tmp2
- <SYSTEM32>\dllcache\rasacd.sys.new
- %TEMP%\Kit.exe
- %TEMP%\qq2.tmp
- %TEMP%\qq1.tmp
- %TEMP%\qq2.tmp_tmp
- %TEMP%\rasacd.sys_tmp
Удаляет следующие файлы:
- %TEMP%\self.bat
Самоудаляется.
Сетевая активность:
Подключается к:
- 'www.zz.##ukde.com':443
UDP:
- DNS ASK www.zz.##ukde.com
