Техническая информация
Для обеспечения автозапуска и распространения:
Заражает следующие исполняемые системные файлы:
- <DRIVERS>\acpiec.sys
Подменяет следующие исполняемые системные файлы:
- <DRIVERS>\acpiec.sys файлом <DRIVERS>\SET6.tmp
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\ope2.exe' = '%TEMP%\ope2.exe:*:Enabled:QVOD'
Создает и запускает на исполнение:
- %TEMP%\ope2.exe
- %TEMP%\ope1.exe
Запускает на исполнение:
- <SYSTEM32>\ipconfig.exe /all
- <SYSTEM32>\taskkill.exe /IM AVP.EXE /F
- <SYSTEM32>\sc.exe CONFIG AVP START= DISABLED
- <SYSTEM32>\rundll32.exe <SYSTEM32>\sysdm.cpl,NoExecuteProcessException %WINDIR%\explorer.exe
- <SYSTEM32>\dumprep.exe 1456 -dm 7 7 %TEMP%\WER2c8f.dir00\explorer.exe.hdmp 16325836412028064
- <SYSTEM32>\dumprep.exe 1456 -dm 7 7 %TEMP%\WER2c8f.dir00\explorer.exe.mdmp 16325836412028052
- <SYSTEM32>\rundll32.exe <SYSTEM32>\Mdblkb.dll, droqp
- <SYSTEM32>\sc.exe CONFIG EKRN START= DISABLED
- <SYSTEM32>\cacls.exe "%TEMP%\" /e /p everyone:f
- <SYSTEM32>\cacls.exe <SYSTEM32> /e /p everyone:f
- <SYSTEM32>\taskkill.exe /IM sCANfRM.EXE /F
- <SYSTEM32>\taskkill.exe /IM EGUI.EXE /F
- <SYSTEM32>\taskkill.exe /IM EKRN.EXE /F
Завершает или пытается завершить
следующие пользовательские процессы:
- ekrn.exe
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtQuerySystemInformation, драйвер-обработчик: pcidump.sys
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\WER2c8f.dir00\explorer.exe.mdmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\new[1].txt
- <DRIVERS>\pcidump.sys
- %TEMP%\WER2c8f.dir00\manifest.txt
- %TEMP%\WER2c8f.dir00\appcompat.txt
- %TEMP%\WER2c8f.dir00\explorer.exe.hdmp
- <DRIVERS>\SET6.tmp
- <SYSTEM32>\Mdblkb.dll
- %TEMP%\ope2.exe
- %TEMP%\ope1.exe
- %WINDIR%\LastGood\TMP4.tmp
- <DRIVERS>\SET3.tmp
- %WINDIR%ABOY.DLL
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\new[1].txt
- <DRIVERS>\SET3.tmp
Перемещает следующие системные файлы:
- <DRIVERS>\acpiec.sys в <DRIVERS>\OLD5.tmp
Сетевая активность:
Подключается к:
- 'localhost':1044
- 'www.sj###hrterf.cn':80
- 'up###e.qvod.com':80
- 'ag###.qvod.com':80
TCP:
Запросы HTTP GET:
- www.sj###hrterf.cn/new.asp?ma##################################################
- www.sj###hrterf.cn/new.txt
- up###e.qvod.com/qd.jpg
UDP:
- DNS ASK st####.sipphone.com
- DNS ASK ag###.qvod.com
- DNS ASK www.sj###hrterf.cn
- DNS ASK tr###.qvod.com
- DNS ASK st##.qvod.com
- DNS ASK up###e.qvod.com
- 'st##.qvod.com':3478
- 'tr###.qvod.com':80
- 'st####.sipphone.com':3478
- '23#.#55.255.250':1900
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: 'Windows ????????'
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
