Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Filtering Connection Session' = '%APPDATA%\qdzjxzqwql\dxhlefsr.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\qdzjxzqwql\mzimfevyqr.exe' "%APPDATA%\qdzjxzqwql\dxhlefsr.exe"
- '%APPDATA%\qdzjxzqwql\dxhlefsr.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\qdzjxzqwql\dxhlefsr.cu3bt
- %APPDATA%\qdzjxzqwql\mzimfevyqr.exe
- %APPDATA%\qdzjxzqwql\dxhlefsr.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\qdzjxzqwql\dxhlefsr.exe
Сетевая активность:
Подключается к:
- 'tw###ecover.net':80
- 'mi###ecover.net':80
- 'mi####become.net':80
- 'mi####company.net':80
- 'tw####become.net':80
- 'of####ompany.net':80
- 'al###become.net':80
- 'al####ompany.net':80
- 'tw####further.net':80
- 'mi####further.net':80
- 'mo####gbecome.net':80
- 'ra####become.net':80
- 'ra####company.net':80
- 'st####efurther.net':80
- 'mo####gcompany.net':80
- 'ra####further.net':80
- 'tw####company.net':80
- 'mo####gfurther.net':80
- 'mo####gcover.net':80
- 'ra###rcover.net':80
- 'of###become.net':80
- 'th####ompany.net':80
- 'pr####tbecome.net':80
- 'pr####tcompany.net':80
- 'co####efurther.net':80
- 'ch####urther.net':80
- 'pr####tfurther.net':80
- 'th####urther.net':80
- 'th###cover.net':80
- 'th###become.net':80
- 'pr####tcover.net':80
- 'of####urther.net':80
- 'co####ecompany.net':80
- 'al####urther.net':80
- 'al###cover.net':80
- 'of###cover.net':80
- 'co####ecover.net':80
- 'ch###cover.net':80
- 'ch###become.net':80
- 'ch####ompany.net':80
- 'co####ebecome.net':80
TCP:
Запросы HTTP GET:
- tw###ecover.net/index.php?em#################################
- mi###ecover.net/index.php?em#################################
- mi####become.net/index.php?em#################################
- mi####company.net/index.php?em#################################
- tw####become.net/index.php?em#################################
- of####ompany.net/index.php?em#################################
- al###become.net/index.php?em#################################
- al####ompany.net/index.php?em#################################
- tw####further.net/index.php?em#################################
- mi####further.net/index.php?em#################################
- mo####gbecome.net/index.php?em#################################
- ra####become.net/index.php?em#################################
- ra####company.net/index.php?em#################################
- st####efurther.net/index.php?em#################################
- mo####gcompany.net/index.php?em#################################
- ra####further.net/index.php?em#################################
- tw####company.net/index.php?em#################################
- mo####gfurther.net/index.php?em#################################
- mo####gcover.net/index.php?em#################################
- ra###rcover.net/index.php?em#################################
- of###become.net/index.php?em#################################
- th####ompany.net/index.php?em#################################
- pr####tbecome.net/index.php?em#################################
- pr####tcompany.net/index.php?em#################################
- co####efurther.net/index.php?em#################################
- ch####urther.net/index.php?em#################################
- pr####tfurther.net/index.php?em#################################
- th####urther.net/index.php?em#################################
- th###cover.net/index.php?em#################################
- th###become.net/index.php?em#################################
- pr####tcover.net/index.php?em#################################
- of####urther.net/index.php?em#################################
- co####ecompany.net/index.php?em#################################
- al####urther.net/index.php?em#################################
- al###cover.net/index.php?em#################################
- of###cover.net/index.php?em#################################
- co####ecover.net/index.php?em#################################
- ch###cover.net/index.php?em#################################
- ch###become.net/index.php?em#################################
- ch####ompany.net/index.php?em#################################
- co####ebecome.net/index.php?em#################################
UDP:
- DNS ASK tw###ecover.net
- DNS ASK mi###ecover.net
- DNS ASK mi####become.net
- DNS ASK mi####company.net
- DNS ASK tw####become.net
- DNS ASK of####ompany.net
- DNS ASK al###become.net
- DNS ASK al####ompany.net
- DNS ASK tw####further.net
- DNS ASK mi####further.net
- DNS ASK mo####gbecome.net
- DNS ASK ra####become.net
- DNS ASK ra####company.net
- DNS ASK st####efurther.net
- DNS ASK mo####gcompany.net
- DNS ASK ra####further.net
- DNS ASK tw####company.net
- DNS ASK mo####gfurther.net
- DNS ASK mo####gcover.net
- DNS ASK ra###rcover.net
- DNS ASK of###become.net
- DNS ASK th####ompany.net
- DNS ASK pr####tbecome.net
- DNS ASK pr####tcompany.net
- DNS ASK co####efurther.net
- DNS ASK ch####urther.net
- DNS ASK pr####tfurther.net
- DNS ASK th####urther.net
- DNS ASK th###cover.net
- DNS ASK th###become.net
- DNS ASK pr####tcover.net
- DNS ASK of####urther.net
- DNS ASK co####ecompany.net
- DNS ASK al####urther.net
- DNS ASK al###cover.net
- DNS ASK of###cover.net
- DNS ASK co####ecover.net
- DNS ASK ch###cover.net
- DNS ASK ch###become.net
- DNS ASK ch####ompany.net
- DNS ASK co####ebecome.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
