Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet002\Services\wscsvc] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\wscsvc] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Data\listen.exe' -pxifangjileshijieguodu
- '%WINDIR%\Temp\svhost.exe'
- '%WINDIR%\Temp\systam.exe'
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' config kaccore start= disabled
- '<SYSTEM32>\sc.exe' config KISSvc start= disabled
- '<SYSTEM32>\sc.exe' config KPfwSvc start= disabled
- '<SYSTEM32>\net1.exe' stop KPfwSvc
- '<SYSTEM32>\sc.exe' config wscsvc start= auto
- '<SYSTEM32>\sc.exe' config SharedAccess start= disabled
- '<SYSTEM32>\attrib.exe' -r -s -h -a boot.reg
- '<SYSTEM32>\attrib.exe' -r -s -h -a loadboot.bat
- '<SYSTEM32>\attrib.exe' -r -s -h -a loadwait.vbe
- '%WINDIR%\regedit.exe' /s boot.reg
- '<SYSTEM32>\attrib.exe' -r -s -h -a svchost.exe
- '<SYSTEM32>\attrib.exe' +r +s +h +a svchost.exe
- '<SYSTEM32>\net.exe' stop KPfwSvc
- '<SYSTEM32>\cmd.exe' /c ""%PROGRAM_FILES%\Data\load.bat" "
- '<SYSTEM32>\wscript.exe' "%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadwait.vbe"
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadboot.bat" "
- '<SYSTEM32>\wscript.exe' "%PROGRAM_FILES%\Data\file.VBE"
- '<SYSTEM32>\taskkill.exe' /f /im wupdmgr.exe
- '<SYSTEM32>\wscript.exe' "%PROGRAM_FILES%\Data\call.vbe"
- '<SYSTEM32>\net1.exe' stop kaccore
- '<SYSTEM32>\net.exe' stop KISSvc
- '<SYSTEM32>\net1.exe' stop KISSvc
- '<SYSTEM32>\net.exe' stop SharedAccess
- '<SYSTEM32>\net1.exe' stop SharedAccess
- '<SYSTEM32>\net.exe' stop kaccore
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\explorer.exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadboot.bat
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\svchost.exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadwait.VBE
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\boot.reg
- %PROGRAM_FILES%\Data\file.VBE
- %WINDIR%\Temp\systam.exe
- %WINDIR%\Temp\svhost.exe
- %PROGRAM_FILES%\Data\listen.TXT
- %PROGRAM_FILES%\Data\call.VBE
- %PROGRAM_FILES%\Data\load.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\boot.reg
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadwait.VBE
- %WINDIR%\helpctr\wuem\maf\svchost.exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadboot.bat
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\explorer.exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\svchost.exe
Удаляет следующие файлы:
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\boot.reg
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadwait.VBE
- %PROGRAM_FILES%\Data\load.bat
- %PROGRAM_FILES%\Data\listen.exe
Перемещает следующие файлы:
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\svchost.exe в %WINDIR%\helpctr\wuem\maf\svchost.exe
- %PROGRAM_FILES%\Data\listen.TXT в %PROGRAM_FILES%\Data\listen.exe
- %PROGRAM_FILES%\Data\load.txt в %PROGRAM_FILES%\Data\load.bat
Сетевая активность:
Подключается к:
- '64.##.182.55':37
- '19#.#3.244.18':37
- '13#.#07.1.10':37
- '12#.6.15.28':37
- '12#.6.15.29':37
- '12#.#38.140.44':37
- '20#.#26.98.204':37
- '20#.#00.81.113':37
- '20#.#88.185.33':37
- '66.##3.43.21':37
- '21#.#00.93.8':37
- '20#.#84.49.9':37
- '64.##6.96.53':37
- '20#.#46.118.250':37
- '68.##6.79.113':37
- '13#.#63.4.101':37
- '13#.#63.4.102':37
- '13#.#63.4.103':37
- '13#.#07.13.100':37
- '69.#5.96.13':37
- '64.##5.78.85':37
- '99.##0.184.201':37
- '64.#13.32.5':37
- '12#.#38.188.172':37
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
