Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Zeng' = 'C:\Zeng.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\·юОс¶Л.exe'
- '%WINDIR%\Temp\20113240659.exe'
- 'C:\DNF№¤ѕЯґуИ«ЧФ¶ЇКХ»х °ЪМЇ Л«їЄ Б¬·ўЎ¤Ў¤Ў¤Ў¤Ў¤Ў¤.exe' /pid=2996
- 'C:\server.exe'
- 'C:\DNF№¤ѕЯґуИ«ЧФ¶ЇКХ»х °ЪМЇ Л«їЄ.exe'
- 'C:\DNF№¤ѕЯґуИ«ЧФ¶ЇКХ»х °ЪМЇ Л«їЄ Б¬·ўЎ¤Ў¤Ў¤Ў¤Ў¤Ў¤.exe'
Запускает на исполнение:
- '<SYSTEM32>\reg.exe'
- '<SYSTEM32>\reg.exe' ADD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v Zeng /d "C:\Zeng.exe" /f
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\reg.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\201529223925.tmp
- C:\201529223926.tmp
- C:\201529223922.tmp
- C:\201529223924.tmp
- C:\201529223927.tmp
- C:\201529223932.tmp
- C:\201529223933.tmp
- C:\201529223930.tmp
- C:\201529223931.tmp
- C:\201529223914.tmp
- C:\201529223915.tmp
- C:\201529223912.tmp
- C:\201529223913.tmp
- C:\201529223917.tmp
- C:\201529223920.tmp
- C:\201529223921.tmp
- C:\201529223918.tmp
- C:\201529223919.tmp
- C:\201529223934.tmp
- C:\201529223950.tmp
- <Служебный элемент>
- C:\201529223947.tmp
- C:\201529223949.tmp
- C:\201529223952.tmp
- C:\20152922400.tmp
- C:\20152922401.tmp
- C:\201529223955.tmp
- C:\201529223956.tmp
- C:\201529223938.tmp
- C:\201529223939.tmp
- C:\201529223936.tmp
- C:\201529223937.tmp
- C:\201529223941.tmp
- C:\201529223945.tmp
- C:\201529223946.tmp
- C:\201529223942.tmp
- C:\201529223943.tmp
- C:\201529223911.tmp
- C:\201529223827.tmp
- C:\201529223828.tmp
- C:\201529223822.tmp
- C:\201529223824.tmp
- C:\201529223829.tmp
- C:\201529223834.tmp
- %WINDIR%\Temp\svchost.dll
- C:\201529223831.tmp
- C:\201529223833.tmp
- %WINDIR%\Temp\20113240659.exe
- C:\DNF№¤ѕЯґуИ«ЧФ¶ЇКХ»х °ЪМЇ Л«їЄ Б¬·ўЎ¤Ў¤Ў¤Ў¤Ў¤Ў¤.exe
- C:\server.exe
- C:\DNF№¤ѕЯґуИ«ЧФ¶ЇКХ»х °ЪМЇ Л«їЄ.exe
- C:\·юОс¶Л.exe
- C:\201529223819.tmp
- C:\201529223820.tmp
- C:\201529223814.tmp
- C:\201529223817.tmp
- %WINDIR%\Temp\svchost.exe
- C:\20152922391.tmp
- C:\20152922392.tmp
- C:\201529223859.tmp
- C:\20152922390.tmp
- C:\20152922393.tmp
- C:\20152922399.tmp
- C:\201529223910.tmp
- C:\20152922395.tmp
- C:\20152922398.tmp
- C:\201529223843.tmp
- C:\201529223847.tmp
- C:\201529223837.tmp
- C:\201529223840.tmp
- C:\201529223850.tmp
- C:\201529223855.tmp
- C:\201529223858.tmp
- C:\201529223851.tmp
- C:\201529223853.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\DNF№¤ѕЯґуИ«ЧФ¶ЇКХ»х °ЪМЇ Л«їЄ Б¬·ўЎ¤Ў¤Ў¤Ў¤Ў¤Ў¤.exe
- C:\·юОс¶Л.exe
- C:\server.exe
- C:\DNF№¤ѕЯґуИ«ЧФ¶ЇКХ»х °ЪМЇ Л«їЄ.exe
Перемещает следующие файлы:
- C:\201529223927.tmp в C:\Zeng.dll
- C:\201529223930.tmp в C:\Zeng.dll
- C:\201529223925.tmp в C:\Zeng.dll
- C:\201529223926.tmp в C:\Zeng.dll
- C:\201529223933.tmp в C:\Zeng.dll
- C:\201529223934.tmp в C:\Zeng.dll
- C:\201529223931.tmp в C:\Zeng.dll
- C:\201529223932.tmp в C:\Zeng.dll
- C:\201529223924.tmp в C:\Zeng.dll
- C:\201529223917.tmp в C:\Zeng.dll
- C:\201529223918.tmp в C:\Zeng.dll
- C:\201529223914.tmp в C:\Zeng.dll
- C:\201529223915.tmp в C:\Zeng.dll
- C:\201529223921.tmp в C:\Zeng.dll
- C:\201529223922.tmp в C:\Zeng.dll
- C:\201529223919.tmp в C:\Zeng.dll
- C:\201529223920.tmp в C:\Zeng.dll
- C:\201529223950.tmp в C:\Zeng.dll
- C:\201529223952.tmp в C:\Zeng.dll
- C:\201529223947.tmp в C:\Zeng.dll
- C:\201529223949.tmp в C:\Zeng.dll
- C:\20152922400.tmp в C:\Zeng.dll
- C:\20152922401.tmp в C:\Zeng.dll
- C:\201529223955.tmp в C:\Zeng.dll
- C:\201529223956.tmp в C:\Zeng.dll
- C:\201529223946.tmp в C:\Zeng.dll
- C:\201529223938.tmp в C:\Zeng.dll
- C:\201529223939.tmp в C:\Zeng.dll
- C:\201529223936.tmp в C:\Zeng.dll
- C:\201529223937.tmp в C:\Zeng.dll
- C:\201529223943.tmp в C:\Zeng.dll
- C:\201529223945.tmp в C:\Zeng.dll
- C:\201529223941.tmp в C:\Zeng.dll
- C:\201529223942.tmp в C:\Zeng.dll
- C:\201529223833.tmp в C:\Zeng.dll
- C:\201529223834.tmp в C:\Zeng.dll
- C:\201529223829.tmp в C:\Zeng.dll
- C:\201529223831.tmp в C:\Zeng.dll
- C:\201529223843.tmp в C:\Zeng.dll
- C:\201529223847.tmp в C:\Zeng.dll
- C:\201529223837.tmp в C:\Zeng.dll
- C:\201529223840.tmp в C:\Zeng.dll
- C:\201529223828.tmp в C:\Zeng.dll
- C:\201529223817.tmp в C:\Zeng.dll
- C:\201529223819.tmp в C:\Zeng.dll
- C:\·юОс¶Л.exe в C:\Zeng.exe
- C:\201529223814.tmp в C:\Zeng.dll
- C:\201529223824.tmp в C:\Zeng.dll
- C:\201529223827.tmp в C:\Zeng.dll
- C:\201529223820.tmp в C:\Zeng.dll
- C:\201529223822.tmp в C:\Zeng.dll
- C:\20152922398.tmp в C:\Zeng.dll
- C:\20152922399.tmp в C:\Zeng.dll
- C:\20152922393.tmp в C:\Zeng.dll
- C:\20152922395.tmp в C:\Zeng.dll
- C:\201529223912.tmp в C:\Zeng.dll
- C:\201529223913.tmp в C:\Zeng.dll
- C:\201529223910.tmp в C:\Zeng.dll
- C:\201529223911.tmp в C:\Zeng.dll
- C:\20152922392.tmp в C:\Zeng.dll
- C:\201529223853.tmp в C:\Zeng.dll
- C:\201529223855.tmp в C:\Zeng.dll
- C:\201529223850.tmp в C:\Zeng.dll
- C:\201529223851.tmp в C:\Zeng.dll
- C:\20152922390.tmp в C:\Zeng.dll
- C:\20152922391.tmp в C:\Zeng.dll
- C:\201529223858.tmp в C:\Zeng.dll
- C:\201529223859.tmp в C:\Zeng.dll
Сетевая активность:
Подключается к:
- 'xq#####3538.gicp.net':8008
- 'xq#####3538.gicp.net':8800
UDP:
- DNS ASK xq#####3538.gicp.net
