Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\GrayPigeon_Hacker.com.cn] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\Hacker.com.cn.exe'
- '<Текущая директория>\qq1051799.exe'
- 'C:\360Stup.exe'
- 'C:\artworkЅв°ь№¤ѕЯ_V2.6.exe'
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 2 -w 1000
- '<SYSTEM32>\attrib.exe' +h Perfect-artwork.py /s /d
- '<SYSTEM32>\attrib.exe' +h artwork /s /d
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 1 -w 1000
- '<SYSTEM32>\mode.com' con: COLS=55 LINES=28
- '<SYSTEM32>\cmd.exe' /c ""<Текущая директория>\cmd.cmd" "
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: %WINDIR%\XCIOTY.DAT
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\artwork\Shared@2x~iphone.artwork-18688.json
- <Текущая директория>\artwork\Shared@2x~iphone.artwork-17663232.json
- <Текущая директория>\artwork\Shared~ipad.artwork-28966528.json
- <Текущая директория>\artwork\Shared~ipad.artwork-3139456.json
- <Текущая директория>\artwork\Shared~ipad.artwork-29220480.json
- <Текущая директория>\artwork\Shared@2x~ipad.artwork-44416.json
- <Текущая директория>\artwork\Shared@2x.artwork-22816000.json
- <Текущая директория>\artwork\Shared.artwork-9488704.json
- <Текущая директория>\artwork\Shared@2x.artwork-22885632.json
- <Текущая директория>\artwork\Shared@2x~ipad.artwork-17663232.json
- <Текущая директория>\artwork\Shared@2x.artwork-37426432.json
- <Текущая директория>\artwork\Shared~ipad.artwork-42315008.json
- <Текущая директория>\artwork\Shared.artwork-8358208.json
- <Текущая директория>\artwork\util.py
- <Текущая директория>\artwork\Shared@2x.artwork-38163712.json
- <Текущая директория>\artwork\Shared~ipad.artwork-3282816.json
- <Текущая директория>\artwork\Shared@2x~ipad.artwork-11495680.json
- <Текущая директория>\artwork\uikit_file.py
- <Текущая директория>\artwork\Shared~iphone.artwork-19529344.json
- <Текущая директория>\artwork\Shared~iphone.artwork-14208.json
- <Текущая директория>\artwork\Shared~iphone.artwork-19615360.json
- <Текущая директория>\artwork\structs.py
- <Текущая директория>\artwork\Shared~iphone.artwork-34798848.json
- <Текущая директория>\artwork\Other.artwork-4880832.json
- <Текущая директория>\cmd.cmd
- %WINDIR%\Hacker.com.cn.exe
- <Текущая директория>\Perfect-artwork.py
- <Текущая директория>\artwork\binary_file.py
- <Текущая директория>\artwork\artwork_file.py
- %WINDIR%\UUXZEY.DAT
- C:\artworkЅв°ь№¤ѕЯ_V2.6.exe
- C:\360Stup.exe
- <Текущая директория>\qq1051799.exe
- %WINDIR%\XCIOTY.DAT
- %TEMP%\bt0213.bat
- <Текущая директория>\artwork\Keyboard-Common.artwork-1914880.json
- <Текущая директория>\artwork\MobilePhonePackedImages.artwork-1354880.json
- <Текущая директория>\artwork\macho_file.py
- <Текущая директория>\artwork\MobilePhonePackedImages.artwork-1422592.json
- <Текущая директория>\artwork\Other.artwork-4868544.json
- <Текущая директория>\artwork\Other.artwork-26315264.json
- <Текущая директория>\artwork\Keyboard-Latin.artwork-27957248.json
- <Текущая директория>\artwork\Keyboard-Emoji.artwork-1929216.json
- <Текущая директория>\artwork\Keyboard-Common.artwork-2033664.json
- <Текущая директория>\artwork\Keyboard-Emoji@2x.artwork-7716864.json
- <Текущая директория>\artwork\Keyboard-Latin.artwork-27252736.json
- <Текущая директория>\artwork\Keyboard-Emoji~ipad.artwork-7716864.json
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\Perfect-artwork.py
- %WINDIR%\Hacker.com.cn.exe
- %TEMP%\bt0213.bat
Удаляет следующие файлы:
- <Текущая директория>\cmd.cmd
- <Текущая директория>\qq1051799.exe
Сетевая активность:
Подключается к:
- '13####9.3322.org':8000
UDP:
- DNS ASK 13####9.3322.org
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
