Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'userinit' = '<SYSTEM32>\userinit.exe,%WINDIR%\apppatch\qcpfxbf.dat,'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\route.exe -p add 193.110.109.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 193.17.85.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 193.193.194.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 192.150.94.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 193.0.6.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 193.1.193.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 193.24.237.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 194.0.200.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 194.109.142.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 194.112.106.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 193.66.251.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 193.69.114.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 193.71.68.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 188.93.8.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 128.130.60.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 139.91.222.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 141.202.248.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\netsh.exe firewall set allowedprogram \??\<SYSTEM32>\winlogon.exe ENABLE
- <SYSTEM32>\route.exe -p add 128.111.48.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 128.130.56.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 149.101.225.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 165.160.15.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 166.70.98.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 18.85.2.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 150.70.93.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 155.35.248.0 mask 255.255.255.0 192.168.190.1
- <SYSTEM32>\route.exe -p add 162.40.10.0 mask 255.255.255.0 192.168.190.1
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\spoolsv.exe
следующие пользовательские процессы:
- opera.exe
- iexplore.exe
- firefox.exe
Ищет следующие окна с целью
обхода различных антивирусов:
- ClassName: 'AVP.MainWindow' WindowName: ''
Скрывает следующие процессы:
- <SYSTEM32>\route.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\AppPatch\qcpfxbf.dat
- %TEMP%\esp95B4.tmp
Удаляет следующие файлы:
- %TEMP%\esp95B4.tmp
Самоперемещается:
- из <Полный путь к вирусу> в %TEMP%\1.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'rh####ocerous.com':80
- '74.##5.232.51':80
TCP:
Запросы HTTP POST:
- rh####ocerous.com/home.php
- rh####ocerous.com/news.php
UDP:
- DNS ASK wpad.localdomain
- DNS ASK rh####ocerous.com
- DNS ASK google.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'Kaspersky Virus Removal Tool 2010'
- ClassName: 'Malwarebytes' WindowName: 'ThunderRT6FormDC'
- ClassName: 'OSAM: Autorun Manager' WindowName: '#32770'
- ClassName: '' WindowName: '???????????? ??????? AVZ'
- ClassName: '' WindowName: 'random'
- ClassName: 'ThunderRT6FormDC' WindowName: ''
