Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bdagent.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVPM.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ClamWin.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\zlclient.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVP32.exe] 'Debugger' = 'nqij.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = '"%PROGRAM_FILES%\Windows Services\wservice.exe",explorer.exe,"<SYSTEM32>\Google.com"'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '<SYSTEM32>\Microsoft.com'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVPCC.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVP.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgcc.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVGCC32.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVP.COM.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVGCTRL.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\fsavgui.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\fsav.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\fsavaui.exe] 'Debugger' = 'nqij.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\fsav32.exe] 'Debugger' = 'nqij.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\dntsvl.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Создает и запускает на исполнение:
- '%APPDATA%\Windows Services\winprsv.exe' cpjqq4br6pv4rmxc.onion 2600
- '%APPDATA%\Windows Services\tor.exe'
- '%APPDATA%\Windows Services\dx11_32.exe'
- '%PROGRAM_FILES%\Windows Services\wservice.exe'
- '%APPDATA%\Windows Services\tor.exe' (загружен из сети Интернет)
- '%APPDATA%\Windows Services\winprsv.exe' (загружен из сети Интернет)
- '%APPDATA%\Windows Services\dx11_32.exe' (загружен из сети Интернет)
Завершает или пытается завершить
следующие пользовательские процессы:
- zlclient.exe
- bdagent.exe
- nod32.exe
- ClamWin.exe
- AVPCC.EXE
- AVP.EXE
- AVPM.EXE
- AVP32.EXE
- avgcc.exe
- AVGCC32.EXE
- AVP.COM
- AVGCTRL.EXE
- fsav32.exe
- fsav.exe
- fsavgui.exe
- fsavaui.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Windows Services\libssp-0.dll
- %APPDATA%\Windows Services\ssleay32.dll
- %APPDATA%\Windows Services\libgmp-10.dll
- %APPDATA%\Windows Services\libgmpxx-4.dll
- %APPDATA%\Windows Services\winprsv.exe
- %APPDATA%\Windows Services\tor.exe
- %APPDATA%\Windows Services\zlib1.dll
- %APPDATA%\Windows Services\dx11_32.exe
- <SYSTEM32>\Microsoft.com
- %APPDATA%\Windows Services\libeay32.dll
- %PROGRAM_FILES%\Windows Services\wservice.exe
- <SYSTEM32>\Google.com
- %APPDATA%\Windows Services\libevent_extra-2-0-5.dll
- %APPDATA%\Windows Services\libgcc_s_sjlj-1.dll
- %APPDATA%\Windows Services\libevent-2-0-5.dll
- %APPDATA%\Windows Services\libevent_core-2-0-5.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\Google.com
- <SYSTEM32>\Microsoft.com
- <Полный путь к вирусу>
- <Имя диска съемного носителя>:\dntsvl.exe
Самоперемещается:
- из <Полный путь к вирусу> в %TEMP%\1802
Сетевая активность:
Подключается к:
- 'ge.tt':80
- 'wp#d':80
- 'localhost':1667
TCP:
Запросы HTTP GET:
- ge.tt/api/1/files/8bXL4d72/9/blob?do######
- ge.tt/api/1/files/8bXL4d72/7/blob?do######
- ge.tt/api/1/files/8bXL4d72/6/blob?do######
- ge.tt/api/1/files/8bXL4d72/8/blob?do######
- ge.tt/api/1/files/7wsR4d72/0/blob?do######
- ge.tt/api/1/files/8bXL4d72/01/blob?do######
- ge.tt/api/1/files/8bXL4d72/5/blob?do######
- ge.tt/api/1/files/8bXL4d72/3/blob?do######
- ge.tt/api/1/files/8bXL4d72/0/blob?do######
- wp#d/wpad.dat
- ge.tt/api/1/files/8bXL4d72/4/blob?do######
- ge.tt/api/1/files/8bXL4d72/2/blob?do######
- ge.tt/api/1/files/8bXL4d72/1/blob?do######
UDP:
- DNS ASK ge.tt
- DNS ASK wp#d
