Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Registry Machine Color Smart Player Scheduler' = '%APPDATA%\qgetuph\hbrkpiwosg.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\qgetuph\deygtdkwmq.exe' "%APPDATA%\qgetuph\hbrkpiwosg.exe"
- '%APPDATA%\qgetuph\hbrkpiwosg.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\qgetuph\hbrkpiwosg.kwkx
- %APPDATA%\qgetuph\deygtdkwmq.exe
- %APPDATA%\qgetuph\hbrkpiwosg.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\qgetuph\hbrkpiwosg.exe
Сетевая активность:
Подключается к:
- 'co####edried.net':80
- 'ch###dried.net':80
- 'ch####ifteen.net':80
- 'ch###angry.net':80
- 'co####efifteen.net':80
- 'pr####tarticle.net':80
- 'pr####tfifteen.net':80
- 'th####ifteen.net':80
- 'th###angry.net':80
- 'th####rticle.net':80
- 'pr####tangry.net':80
- 'co####eangry.net':80
- 'al###angry.net':80
- 'of###angry.net':80
- 'of####rticle.net':80
- 'mi###edried.net':80
- 'al####rticle.net':80
- 'al####ifteen.net':80
- 'co####earticle.net':80
- 'ch####rticle.net':80
- 'of###dried.net':80
- 'of####ifteen.net':80
- 'al###dried.net':80
- 'am###tbroad.net':80
- 'we#####understand.net':80
- 'we####rbroad.net':80
- 'we####rbehind.net':80
- 'am####behind.net':80
- 'am#####nderstand.net':80
- 'st####ebehind.net':80
- 'hi####ybroad.net':80
- 'hi####ybehind.net':80
- 'hi####ybutter.net':80
- 'st####ebutter.net':80
- 'am####butter.net':80
- 'th###butter.net':80
- 'cl###behind.net':80
- 'cl###butter.net':80
- 'pr####tdried.net':80
- 'th###dried.net':80
- 'th###behind.net':80
- 'th####nderstand.net':80
- 'we####rbutter.net':80
- 'cl####nderstand.net':80
- 'cl###broad.net':80
- 'th###broad.net':80
TCP:
Запросы HTTP GET:
- co####edried.net/index.php?em########################################
- ch###dried.net/index.php?em########################################
- ch####ifteen.net/index.php?em########################################
- ch###angry.net/index.php?em########################################
- co####efifteen.net/index.php?em########################################
- pr####tarticle.net/index.php?em########################################
- pr####tfifteen.net/index.php?em########################################
- th####ifteen.net/index.php?em########################################
- th###angry.net/index.php?em########################################
- th####rticle.net/index.php?em########################################
- pr####tangry.net/index.php?em########################################
- co####eangry.net/index.php?em########################################
- al###angry.net/index.php?em########################################
- of###angry.net/index.php?em########################################
- of####rticle.net/index.php?em########################################
- mi###edried.net/index.php?em########################################
- al####rticle.net/index.php?em########################################
- al####ifteen.net/index.php?em########################################
- co####earticle.net/index.php?em########################################
- ch####rticle.net/index.php?em########################################
- of###dried.net/index.php?em########################################
- of####ifteen.net/index.php?em########################################
- al###dried.net/index.php?em########################################
- am###tbroad.net/index.php?em########################################
- we#####understand.net/index.php?em########################################
- we####rbroad.net/index.php?em########################################
- we####rbehind.net/index.php?em########################################
- am####behind.net/index.php?em########################################
- am#####nderstand.net/index.php?em########################################
- st####ebehind.net/index.php?em########################################
- hi####ybroad.net/index.php?em########################################
- hi####ybehind.net/index.php?em########################################
- hi####ybutter.net/index.php?em########################################
- st####ebutter.net/index.php?em########################################
- am####butter.net/index.php?em########################################
- th###butter.net/index.php?em########################################
- cl###behind.net/index.php?em########################################
- cl###butter.net/index.php?em########################################
- pr####tdried.net/index.php?em########################################
- th###dried.net/index.php?em########################################
- th###behind.net/index.php?em########################################
- th####nderstand.net/index.php?em########################################
- we####rbutter.net/index.php?em########################################
- cl####nderstand.net/index.php?em########################################
- cl###broad.net/index.php?em########################################
- th###broad.net/index.php?em########################################
UDP:
- DNS ASK ch####ifteen.net
- DNS ASK co####edried.net
- DNS ASK co####efifteen.net
- DNS ASK co####eangry.net
- DNS ASK ch###angry.net
- DNS ASK ch###dried.net
- DNS ASK th###angry.net
- DNS ASK pr####tfifteen.net
- DNS ASK pr####tangry.net
- DNS ASK pr####tarticle.net
- DNS ASK th####rticle.net
- DNS ASK ch####rticle.net
- DNS ASK of####rticle.net
- DNS ASK al###angry.net
- DNS ASK al####rticle.net
- DNS ASK tw###edried.net
- DNS ASK mi###edried.net
- DNS ASK of###angry.net
- DNS ASK of###dried.net
- DNS ASK co####earticle.net
- DNS ASK al###dried.net
- DNS ASK al####ifteen.net
- DNS ASK of####ifteen.net
- DNS ASK th####ifteen.net
- DNS ASK am###tbroad.net
- DNS ASK we#####understand.net
- DNS ASK we####rbroad.net
- DNS ASK we####rbehind.net
- DNS ASK am####behind.net
- DNS ASK am#####nderstand.net
- DNS ASK st####ebehind.net
- DNS ASK hi####ybroad.net
- DNS ASK hi####ybehind.net
- DNS ASK hi####ybutter.net
- DNS ASK st####ebutter.net
- DNS ASK am####butter.net
- DNS ASK th###butter.net
- DNS ASK cl###behind.net
- DNS ASK cl###butter.net
- DNS ASK pr####tdried.net
- DNS ASK th###dried.net
- DNS ASK th###behind.net
- DNS ASK th####nderstand.net
- DNS ASK we####rbutter.net
- DNS ASK cl####nderstand.net
- DNS ASK cl###broad.net
- DNS ASK th###broad.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
