Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\n3BVpeVZn56c] 'ImagePath' = '<DRIVERS>\zPPDzIUqRVVx3.sys'
- [HKLM\System\CurrentControlSet\Services\EzJrWTQ67jt6W] 'ImagePath' = '<DRIVERS>\AvygmladlQF.quq'
- [HKLM\System\CurrentControlSet\Services\TZggxYo9lcfu] 'ImagePath' = '<SYSTEM32>\bRjoP04oOc.sys'
- [HKLM\System\CurrentControlSet\Services\bL8wkxjv6QF] 'ImagePath' = '<SYSTEM32>\lQlnh02kRtGN2.dev'
- [HKLM\System\CurrentControlSet\Services\tB83nl0WIvmJMn] 'ImagePath' = '%WINDIR%\5BkYMmbbNhivJ.sys'
- [HKLM\System\CurrentControlSet\Services\0AHobGHZ3WHPNE] 'ImagePath' = '<DRIVERS>\PXbyE3rPZI.sys'
- [HKLM\System\CurrentControlSet\Services\Klp8woycn] 'ImagePath' = '<DRIVERS>\19Uqg1o7i.sys'
- [HKLM\System\CurrentControlSet\Services\l8l9509e9LYK] 'ImagePath' = '<DRIVERS>\WRVkSosEw2.sys'
Создает следующие сервисы
- 'n3BVpeVZn56c' <DRIVERS>\zPPDzIUqRVVx3.sys
- 'EzJrWTQ67jt6W' <DRIVERS>\AvygmladlQF.quq
- 'TZggxYo9lcfu' <SYSTEM32>\bRjoP04oOc.sys
- 'bL8wkxjv6QF' <SYSTEM32>\lQlnh02kRtGN2.dev
- 'tB83nl0WIvmJMn' %WINDIR%\5BkYMmbbNhivJ.sys
- '0AHobGHZ3WHPNE' <DRIVERS>\PXbyE3rPZI.sys
- 'Klp8woycn' <DRIVERS>\19Uqg1o7i.sys
- 'l8l9509e9LYK' <DRIVERS>\WRVkSosEw2.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль wininet.dll
- Процесс firefox.exe, модуль nss3.dll
- Процесс firefox.exe, модуль mswsock.dll
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\drivers\zppdziuqrvvx3.sys
- %WINDIR%\syswow64\drivers\avygmladlqf.quq
- %WINDIR%\syswow64\brjop04ooc.sys
- %WINDIR%\syswow64\lqlnh02krtgn2.dev
- %WINDIR%\5bkymmbbnhivj.sys
- C:\xcopy.exe
- <DRIVERS>\pxbye3rpzi.sys
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\l1rrgtpu.cat
- <DRIVERS>\19uqg1o7i.sys
- <DRIVERS>\wrvksosew2.sys
- %ProgramFiles%\windows photo viewer\manifest.json
- %ProgramFiles%\windows photo viewer\26ba18.js
- %ProgramFiles%\windows photo viewer\30689e.html
- %ProgramFiles%\windows photo viewer\3a1724.js
- %ProgramFiles%\windows photo viewer\lib\43c5aa.js
- %WINDIR%\1741e\csrss.exe
Удаляет следующие файлы
- %WINDIR%\syswow64\drivers\zppdziuqrvvx3.sys
- %WINDIR%\syswow64\drivers\avygmladlqf.quq
- %WINDIR%\syswow64\brjop04ooc.sys
- %WINDIR%\syswow64\lqlnh02krtgn2.dev
Самоудаляется.
Сетевая активность
Подключается к
- 'dn#.#lidns.com':443
- 'dn#.#lidns.com':80
- '12#.#.37.241':80
- 'ap##.#ame.qq.com':80
- 'sp#.#aidu.com':80
- '12#.#.37.241':443
TCP
Запросы HTTP GET
- http://dn#.#lidns.com/resolve?na#######################
- http://nr#.#cslw.top/report/report_data?da#######################################################################################################################################################...
- http://xc#.#cslw.top/cfg/cmc/ppmldb
- http://xc#.#cslw.top/cfg/cmc/slfdm.txt
- http://xc#.#cslw.top/cfg/cmc/qzpass.txt
- http://xc#.#cslw.top/cfg/cmc/b2.txt
- http://xc#.#cslw.top/pgm/mds/b3abb02528414f5a/6188d79c9fc7cdae7c70c674799b20d564.zip
- http://dn#.#lidns.com/resolve?na###################
- http://xc#.#cslw.top/cfg/cmc/blacklist.txt
- http://dn#.#lidns.com/resolve?na########################
- http://dn#.#lidns.com/resolve?na######################
- http://22#.5.5.5/resolve?na######################
- http://xc#.#cslw.top/pgm/mds/422ed73a26bc994c/a46c24a265a3bec7ba11a948e142f17e7791d60165ab87c464.zip
- http://dn#.#lidns.com/resolve?na####################
- http://xc#.#cslw.top/cfg/cmc/sfbd.txt
- http://xc#.#cslw.top/pgm/mds/71600c65a728333a/c57d344613ba8549426e5dbea86f249c6c935a8eac4509a264.zip
- http://xc#.#cslw.top/pgm/mds/865609897d54b79b/2cc3b5fea2ff6d3e83136443a846e0673d9dae844e2e4ecf64.zip
- http://xc#.#cslw.top/pgm/mds/186dc678628340ee/219c906140f2c06be2e3db6296e78091a34c8da1c928895b64.zip
- http://xc#.#cslw.top/pgm/mds/62761afc2f0d796a/a4fa2c8d00fc0abae2e3db6296e78091112c7b6cfbdbf26a64.zip
- http://xc#.#cslw.top/pgm/mds/8a535297eaa802d1/17d0ec639db40991bbe7c285bb4fe48e0f26e9808f1e227964.zip
- http://xc#.#cslw.top/pgm/mds/05631e93ccdb00ee/1d3049b187ce606623cd71ca2f04529ace43d0e0c871205264.zip
- http://xc#.#cslw.top/cfg/pub/ps.json
- http://xc#.#cslw.top/cfg/pub/ms.json
- http://xc#.#cslw.top/cfg/user/c995ec7fd4f57c0d/e691ad375852f8cd.json
- http://xc#.#cslw.top/cfg/cmc/ggtbd.txt
- http://sp#.#aidu.com/8aQDcjqpAAV3otqbppnN2DJv/api.php?qu###############################################################
- http://ap##.#ame.qq.com/comm-htdocs/ip/get_ip.php
- http://xc#.#cslw.top/cfg/cmc/userpq.zip
- http://xc#.#cslw.top/cfg/cmc/userchange.txt
- http://xc#.#cslw.top/cfg/cmc/ping.txt
- http://xc#.#cslw.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip
- http://xc#.#cslw.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip.md5.txt
- http://xc#.#cslw.top/cfg/cmc/wea.txt
- http://xc#.#cslw.top/cfg/cmc/chct.txt
Другие
- 'dn#.#lidns.com':443
- '12#.#.37.241':443
UDP
- DNS ASK xc#.#ycsl.top
- DNS ASK dn#.#lidns.com
- DNS ASK xc#.#cslw.top
- DNS ASK ap##.#ame.qq.com
- DNS ASK sp#.#aidu.com
- '23#.#23.112.211':51701
- '23#.2.2.2':18804
Другое
Добавляет корневой сертификат
Создает и запускает на исполнение
- 'C:\xcopy.exe'
- '%WINDIR%\1741e\csrss.exe'
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "C:\xcopy.exe"
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 1 & del /Q /F "<Полный путь к файлу>" (со скрытым окном)
- '%WINDIR%\syswow64\timeout.exe' /t 1
