Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '365' = 'h:\svchosto.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '366' = 'C:\svchosto.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '2297F138' = '%WINDIR%\2297F138\svchsot.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '364' = 'g:\svchosto.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '360' = '<SYSTEM32>\svchosto.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '362' = '<Имя диска съемного носителя>:\svchosto.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '363' = 'f:\svchosto.exe'
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\At10.job
- %WINDIR%\Tasks\At9.job
- %WINDIR%\Tasks\At8.job
- %WINDIR%\Tasks\At13.job
- %WINDIR%\Tasks\At12.job
- %WINDIR%\Tasks\At11.job
- %WINDIR%\Tasks\At7.job
- %WINDIR%\Tasks\At3.job
- %WINDIR%\Tasks\At2.job
- %WINDIR%\Tasks\At1.job
- %WINDIR%\Tasks\At6.job
- %WINDIR%\Tasks\At5.job
- %WINDIR%\Tasks\At4.job
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ZHQHLPUZ] 'ImagePath' = '<DRIVERS>\ZHQHLPUZ.sys'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\AutoRun.inf
- <Имя диска съемного носителя>:\svchosto.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\system.\svchosttt.exe'
- '<SYSTEM32>\ksbinstaller_s_80_60899.exe'
- '<SYSTEM32>\svchosttt.exe'
- '<SYSTEM32>\KAVSETUPS_44_60899.exe'
- '<SYSTEM32>\svchoppp.exe'
- 'C:\PPTV(pplive)_fora5_60899.exe'
- '<SYSTEM32>\KAVSETUPS_44_60899.exe' (загружен из сети Интернет)
- 'C:\PPTV(pplive)_fora5_60899.exe' (загружен из сети Интернет)
- '<SYSTEM32>\ksbinstaller_s_80_60899.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' start "Task Scheduler"
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\drwtsn32.exe
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtWriteVirtualMemory, драйвер-обработчик: ZHQHLPUZ.sys
- NtReadVirtualMemory, драйвер-обработчик: ZHQHLPUZ.sys
- NtOpenProcess, драйвер-обработчик: ZHQHLPUZ.sys
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\ksbinstaller_s_80_60899.exe
- %WINDIR%\0C24_svchosttt.exe_0.ndmp
- C:\PPTV(pplive)_fora5_60899.exe
- <SYSTEM32>\KAVSETUPS_44_60899.exe
- %WINDIR%\2297F138\svchsot.exe
- <SYSTEM32>\system.\svchosttt.exe
- <SYSTEM32>\svchosto.exe
- C:\AutoRun.inf
- <DRIVERS>\TMXMQTVA.sys
- %WINDIR%\svchoppp.exe
- <DRIVERS>\ZHQHLPUZ.sys
- <SYSTEM32>\svchoppp.exe
- C:\setups_66_63962.exe
- <SYSTEM32>\svchosttt.exe
- C:\kuping_s_33717.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\2345[1]
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\AutoRun.inf
- C:\AutoRun.inf
Удаляет следующие файлы:
- <SYSTEM32>\svchosto.exe
- <DRIVERS>\ZHQHLPUZ.sys
Сетевая активность:
Подключается к:
- 's1.##min6.com':80
- 'localhost':2012
- 'd.#####.ijinshan.com':80
- 'localhost':1037
- 'www.23##.com':80
TCP:
Запросы HTTP GET:
- s1.##min6.com/pptv/PPTV(pplive)_fora5_60899.exe
- d.#####.ijinshan.com/duba/link/KAVSETUPS_44_60899.exe
- d.#####.ijinshan.com/liebao/link/ksbinstaller_s_80_60899.exe
- www.23##.com/?k6#######
- d.#####.ijinshan.com/kuping/jm/kuping_s_33717.exe
- d.#####.ijinshan.com/weishi/link/setups_66_63962.exe
UDP:
- DNS ASK cd#.###ent.baidu.com
- DNS ASK do####ad.wuji.com
- DNS ASK qw####800.gicp.net
- DNS ASK ji#####wnload.2345.cn
- DNS ASK www.23##.com
- DNS ASK d.#####.ijinshan.com
- DNS ASK s1.##min6.com
Другое:
Ищет следующие окна:
- ClassName: 'Button' WindowName: '????(&I)'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '#32770' WindowName: '2345????????????V3.2??????????60??????????????????'
