Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\GLGEE\EIAVQ.bat' %APPDATA%\GLGEE\GWDPW
- '%APPDATA%\GLGEE\EIAVQ.bat' "FTOXS-PKQ"
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\BulletProof Software\BulletProof FTP Client\Options]
- [<HKCU>\Software\BPFTP]
- [<HKCU>\Software\BPFTP\Bullet Proof FTP\Options]
- [<HKCU>\Software\BPFTP\Bullet Proof FTP\Main]
- [<HKCU>\Software\BulletProof Software\BulletProof FTP Client\Main]
- [<HKCU>\Software\Sota\FFFTP\Options]
- [<HKCU>\Software\South River Technologies\WebDrive\Connections]
- [<HKLM>\Software\South River Technologies\WebDrive\Connections]
- [<HKCU>\Software\FTP Explorer\Profiles]
- [<HKCU>\Software\CoffeeCup Software\Internet\Profiles]
- [<HKCU>\Software\FTPWare\COREFTP\Sites]
- [<HKLM>\Software\FlashFXP]
- [<HKCU>\Software\Far2\SavedDialogHistory\FTPHost]
- [<HKCU>\Software\Ghisler\Windows Commander]
- [<HKCU>\Software\Far\SavedDialogHistory\FTPHost]
- [<HKCU>\Software\Far\Plugins\FTP\Hosts]
- [<HKCU>\Software\Far2\Plugins\FTP\Hosts]
- [<HKLM>\Software\Ghisler\Windows Commander]
- [<HKCU>\Software\FlashFXP]
- [<HKLM>\Software\FlashFXP\3]
- [<HKCU>\Software\FlashFXP\3]
- [<HKCU>\Software\Ghisler\Total Commander]
- [<HKLM>\Software\Ghisler\Total Commander]
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\GLGEE\DCSWG.qgi
- %APPDATA%\GLGEE\XADXN.mjr
- %APPDATA%\GLGEE\KHXQN.jhm
- %APPDATA%\GLGEE\BXHHS.tau
- %APPDATA%\GLGEE\RDQWB.uqv
- %APPDATA%\GLGEE\YILCZ.ooh
- %APPDATA%\GLGEE\MSFQG.fnq
- %APPDATA%\GLGEE\DNHRU.oqq
- %APPDATA%\GLGEE\FXMVR.htv
- %APPDATA%\GLGEE\BPUDU.sph
- %APPDATA%\GLGEE\KLYNW.pav
- %APPDATA%\GLGEE\EKNBY.wpi
- %APPDATA%\GLGEE\INLWQ.llp
- %APPDATA%\GLGEE\HNSAH.rum
- %APPDATA%\GLGEE\spd
- %APPDATA%\GLGEE\GWDPW
- %APPDATA%\GLGEE\UZBXZ.ika
- %APPDATA%\GLGEE\FCFCH.tvv
- %APPDATA%\GLGEE\CNVVM.jnp
- %APPDATA%\GLGEE\WEWND.kiq
- %APPDATA%\GLGEE\PNJLC.fvl
- %APPDATA%\GLGEE\QOTCM.lkr
- %APPDATA%\GLGEE\POYYV.elw
- %APPDATA%\GLGEE\JCJFY.usr
- %APPDATA%\GLGEE\ATEMK.ubw
- %APPDATA%\GLGEE\AHGRU.uci
- %APPDATA%\GLGEE\LNZGX.xlx
- %APPDATA%\GLGEE\LDOVM.sgq
- %APPDATA%\GLGEE\XMUWM.JYG
- %APPDATA%\GLGEE\GVOSN.CME
- %APPDATA%\GLGEE\YMQGIX
- %APPDATA%\GLGEE\EIAVQ.bat
- %APPDATA%\GLGEE\FTOXS-PKQ
- %APPDATA%\GLGEE\KEPFA.kpp
- %APPDATA%\GLGEE\WNBVG.wom
- %APPDATA%\GLGEE\FQLYG.mba
- %APPDATA%\GLGEE\NKGFB.vcx
- %APPDATA%\GLGEE\OQYMK.ctj
- %APPDATA%\GLGEE\NFCWQ.vto
- %APPDATA%\GLGEE\LMPXL.mkw
- %APPDATA%\GLGEE\AJEZB.xje
- %APPDATA%\GLGEE\OIELE.kmx
- %APPDATA%\GLGEE\EMTAM.tlx
- %APPDATA%\GLGEE\QWYSN.ivk
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\GLGEE\FTOXS-PKQ
Удаляет следующие файлы:
- %APPDATA%\GLGEE\GWDPW
Сетевая активность:
Подключается к:
- 'ch####.comule.com':80
TCP:
Запросы HTTP POST:
- ch####.comule.com/chika/chika/Panel/gate.php
UDP:
- DNS ASK ch####.comule.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
