Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'QQSoftEM' = '%PROGRAM_FILES%\Services\servicem.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\vsdudp] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\xhjlmf] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Services\servicem.exe'
- 'C:\Dment\lojk.exe'
- 'C:\Dment\hh_8019.exe'
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' start xhjlmf
- '<SYSTEM32>\sc.exe' stop xhjlmf
- '<SYSTEM32>\sc.exe' create vsdudp type= kernel start= auto binpath= "%ALLUSERSPROFILE%\Application Data\MBLZHVM\vsdudp.bin"
- '<SYSTEM32>\ipconfig.exe' /all
- '<SYSTEM32>\sc.exe' create xhjlmf type= kernel binpath= "%ALLUSERSPROFILE%\Application Data\MBLZHVM\xhjlmf.bin" start= auto
- '<SYSTEM32>\sc.exe' stop null
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\6YQRA29M\pab[1].php
- %WINDIR%\inf\bm9210.PNF
- %ALLUSERSPROFILE%\Application Data\MBLZHVM\xhjlmf.bin
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mi[1].php
- %WINDIR%\msapps\guu9380
- %ALLUSERSPROFILE%\Application Data\MBLZHVM\vsdudp.bin
- %WINDIR%\Temp\{bda03dea-b1b9-43d2-00aa-9b2807fbca38}
- %WINDIR%\inf\ue5578.PNF
- %WINDIR%\Web\oe9775.htt
- C:\Dment\hh_8019.exe
- C:\Dment\lojk.exe
- C:\Dment\克ksgykg式 RASe
- %PROGRAM_FILES%\Services\QQNewA.txt
- %TEMP%\1.tmp
- %PROGRAM_FILES%\Services\VFPSYS.bat
- C:\ping
- %ALLUSERSPROFILE%\Application Data\MBLZHVM\nav9629.hlp
Удаляет следующие файлы:
- %ALLUSERSPROFILE%\Application Data\MBLZHVM\vsdudp.bin
- %TEMP%\1.tmp
- %ALLUSERSPROFILE%\Application Data\MBLZHVM\xhjlmf.bin
- %TEMP%\~DFF60E.tmp
- %TEMP%\~DF54AC.tmp
Перемещает следующие файлы:
- %PROGRAM_FILES%\Services\QQNewA.txt в %PROGRAM_FILES%\Services\servicem.exe
Сетевая активность:
Подключается к:
- 'up##.21civ.com':80
- 'rp.##q88.com':80
- 'mi.##tphits.com':80
- 'rp##.21civ.com':80
- 'localhost':1040
TCP:
Запросы HTTP GET:
- up##.21civ.com/pab.php?b=######################################
- rp.##q88.com/rp.php?om###################################################################################
- rp##.21civ.com/az.php?st######################################################
- mi.##tphits.com/mi.php?u=############################################################################################################
UDP:
- DNS ASK rp.##q88.com
- DNS ASK www.ba##u.com
- DNS ASK up##.21civ.com
- DNS ASK rp##.21civ.com
- DNS ASK mi.##tphits.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
