Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ptidi3' = '%APPDATA%\cnqsm.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\cnqsm.exe -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
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- <SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\cmd.exe /c "%APPDATA%\wo3wqz6uu.bat"
- <SYSTEM32>\sc.exe config wscsvc start= DISABLED
- <SYSTEM32>\net.exe stop "Security Center"
- <SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\net1.exe stop "Security Center"
- <SYSTEM32>\sc.exe config SharedAccess start= DISABLED
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mdinstall.inf
- %APPDATA%\wo3wqz6uu.bat
- %APPDATA%\cnqsm.exe
- %APPDATA%\MouseDriver.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- %APPDATA%\mdinstall.inf
Самоудаляется.
Сетевая активность:
Подключается к:
- 'w.#####ardiscover.com':888
UDP:
- DNS ASK w.#####ardiscover.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
