Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\qoMfedDu] 'Logon' = 'o'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\qoMfedDu] 'DllName' = 'qoMfedDu.dll'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] '{A7A4DFC1-32C7-4A3C-BFAC-21B526A00347}' = ''
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\smchk.exe
- %TEMP%\software.php
- %TEMP%\Setup_ver1.1431.0.exe
- %TEMP%\is161103.exe
- %TEMP%\setup.exe
- %TEMP%\software.php (загружен из сети Интернет)
- %TEMP%\smchk.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c %TEMP%\software.php.bat
- <SYSTEM32>\cmd.exe /c %TEMP%\smchk.exe.bat
- <SYSTEM32>\cmd.exe /c %TEMP%\removalfile.bat "%TEMP%\is161103.exe"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtCreateSymbolicLinkObject, драйвер-обработчик: <Служебное имя>.sys
- NtCreateThread, драйвер-обработчик: <Служебное имя>.sys
- NtCreateProcessEx, драйвер-обработчик: <Служебное имя>.sys
- NtAllocateVirtualMemory, драйвер-обработчик: <Служебное имя>.sys
- NtCreateProcess, драйвер-обработчик: <Служебное имя>.sys
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{A8A88C49-5EB2-4990-A1A2-0876022C854F}' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{AEBA21FA-782A-4A90-978D-B72164C80120}' = ''
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\d226[1].exe
- %TEMP%\smchk.exe.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\confirm[1].php
- %TEMP%\smchk.exe
- %TEMP%\software.php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\software[1].php
- %TEMP%\software.php.bat
- %HOMEPATH%\Cookies\%USERNAME%@wmvmedialease[1].txt
- %TEMP%\setup.exe
- %TEMP%\is161103.exe
- <SYSTEM32>\qoMfedDu.dll
- %TEMP%\removalfile.bat
- %TEMP%\Setup_ver1.1431.0.exe
- <SYSTEM32>\jkkKayVP.dll
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\confirm[1].php
- %TEMP%\is161103.exe
Сетевая активность:
Подключается к:
- 'vi####ecright2.com':80
- 'dw#.##pdownload.com':80
- '64.##7.39.247':80
TCP:
Запросы HTTP GET:
- vi####ecright2.com/software.php
- dw#.##pdownload.com/uexe/d226.exe
- 64.##7.39.247/confirm.php?ai#############################################
UDP:
- DNS ASK vi####ecright2.com
- DNS ASK dw#.##pdownload.com
