Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'c3HVXoR0.exe' = '"<LS_APPDATA>\q3r2w1u5N2s\c3HVXoR0.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Command Processor] 'Autorun' = '"<LS_APPDATA>\q3r2w1u5N2s\c3HVXoR0.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'cmd.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'c3HVXoR0.exe' = '"<LS_APPDATA>\q3r2w1u5N2s\c3HVXoR0.exe"'
- [<HKCU>\Software\Microsoft\Command Processor] 'Autorun' = '"<LS_APPDATA>\q3r2w1u5N2s\c3HVXoR0.exe"'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'cmd.exe'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- ecmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\vbpoiqvgul[1]
- %TEMP%\8sPax3jp18o
- <Полный путь к вирусу>
- <LS_APPDATA>\q3r2w1u5N2s\c3HVXoR0.exe
Удаляет следующие файлы:
- %TEMP%\8sPax3jp18o
Сетевая активность:
Подключается к:
- 'vb###qvgul.at':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- vb###qvgul.at/?kC####################################################################################################################################################################################
UDP:
- DNS ASK vb###qvgul.at
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'Z YtxadZ '
- ClassName: '(null)' WindowName: 'ZVxlxba'
- ClassName: '(null)' WindowName: 'pxlgr zx'
- ClassName: '(null)' WindowName: 'bu '
- ClassName: '(null)' WindowName: 'D cogdyG'
- ClassName: '(null)' WindowName: 'wgveCir'
- ClassName: '(null)' WindowName: 'jtas vuikzFr'
- ClassName: '(null)' WindowName: ' njCggO b'
- ClassName: '(null)' WindowName: 'pttnEi'
- ClassName: '(null)' WindowName: 'zTqkWGGQXhrmuc'
- ClassName: '(null)' WindowName: 'v t'
- ClassName: '(null)' WindowName: 'mgbxp zrx'
- ClassName: '(null)' WindowName: 'lpq t'
- ClassName: '(null)' WindowName: 'hYhmjHqa d'
- ClassName: '(null)' WindowName: 'qAbpULhtsp'
- ClassName: '(null)' WindowName: 'uqUj n'
- ClassName: '(null)' WindowName: ' oun csm'
- ClassName: '(null)' WindowName: 'EHoYyNxti'
- ClassName: '(null)' WindowName: 'SjsyC '
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'Cj Kf n'
- ClassName: '(null)' WindowName: 'srAirT'
- ClassName: '(null)' WindowName: ' gypdM'
- ClassName: '(null)' WindowName: 'yfXdtoOe'
- ClassName: '(null)' WindowName: ' xdI ylrSOg'
- ClassName: '(null)' WindowName: 'xcRwb'
- ClassName: '(null)' WindowName: 'en oyQfu u'
- ClassName: '(null)' WindowName: 'lvHYtt kze pv'
- ClassName: '(null)' WindowName: 'qikn FP r'
- ClassName: '(null)' WindowName: 'kzSFyscWiI oK'
- ClassName: '(null)' WindowName: 'ErxZqhep'
- ClassName: '(null)' WindowName: 'd C'
- ClassName: '(null)' WindowName: 'eY CeiV'
- ClassName: '(null)' WindowName: ' xegsBEeoEbn'
- ClassName: '(null)' WindowName: 'eeMGS'
- ClassName: '(null)' WindowName: 'ijmgvXnmCty'
- ClassName: '(null)' WindowName: 'f pvigdqd'
- ClassName: '(null)' WindowName: 'qLodLjoaaPkdw'
- ClassName: '(null)' WindowName: 'zhjncofcelHymC'
- ClassName: '(null)' WindowName: 'ycfiVibuXluwzC'
- ClassName: '(null)' WindowName: 'xefyf JpwcY'
- ClassName: '(null)' WindowName: 'uCgztGbcAc Z yi'
- ClassName: '(null)' WindowName: 'xvzj'
- ClassName: '(null)' WindowName: 'NtMsjxB'
- ClassName: '(null)' WindowName: 'c wla'
- ClassName: '(null)' WindowName: 'DTtdiyMzUp pibsuV'
- ClassName: '(null)' WindowName: 'lia qTXD'
- ClassName: '(null)' WindowName: 'pzxni qJy'
- ClassName: '(null)' WindowName: 'pM t uc c'
- ClassName: '(null)' WindowName: 'M mrIwzy lK'
- ClassName: '(null)' WindowName: 'jDls aiUVz'
- ClassName: '(null)' WindowName: 'xxhmGxS vfj'
- ClassName: '(null)' WindowName: 'zj U VySFtw bwJq'
- ClassName: '(null)' WindowName: 'aeg CVFbwnd'
- ClassName: '(null)' WindowName: 'mf Zexajvpwi wjYOp'
- ClassName: '(null)' WindowName: 'gfpQ'
- ClassName: '(null)' WindowName: 'QmwdaY eONSd'
- ClassName: '(null)' WindowName: 'slgeV zblqAekelTM'
