Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'hnrpcsq.exe' = '%HOMEPATH%\npmmmaehcx/hnrpcsq.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'dnhbgcg.exe' = '%HOMEPATH%\npmmmaehcx/dnhbgcg.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'qocjwde.exe' = '%HOMEPATH%\npmmmaehcx/qocjwde.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'dwblsdg.exe' = '%HOMEPATH%\npmmmaehcx/dwblsdg.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'snyrpia.exe' = '%HOMEPATH%\npmmmaehcx/snyrpia.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'qtntvlc.exe' = '%HOMEPATH%\npmmmaehcx/qtntvlc.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'qwvtevv.exe' = '%HOMEPATH%\npmmmaehcx/qwvtevv.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%HOMEPATH%\npmmmaehcx\hnrpcsq.exe'
- '%HOMEPATH%\npmmmaehcx\dwblsdg.exe'
- '%HOMEPATH%\npmmmaehcx\qocjwde.exe'
- '%HOMEPATH%\npmmmaehcx\dnhbgcg.exe'
- '%HOMEPATH%\npmmmaehcx\qwvtevv.exe'
- '%HOMEPATH%\npmmmaehcx\qtntvlc.exe'
- '%HOMEPATH%\npmmmaehcx\snyrpia.exe'
- '%HOMEPATH%\npmmmaehcx\snyrpia.exe' (загружен из сети Интернет)
- '%HOMEPATH%\npmmmaehcx\qocjwde.exe' (загружен из сети Интернет)
- '%HOMEPATH%\npmmmaehcx\dnhbgcg.exe' (загружен из сети Интернет)
- '%HOMEPATH%\npmmmaehcx\qtntvlc.exe' (загружен из сети Интернет)
- '%HOMEPATH%\npmmmaehcx\qwvtevv.exe' (загружен из сети Интернет)
- '%HOMEPATH%\npmmmaehcx\hnrpcsq.exe' (загружен из сети Интернет)
- '%HOMEPATH%\npmmmaehcx\dwblsdg.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\npmmmaehcx\hnrpcsq.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\fav5[1].ico
- %HOMEPATH%\npmmmaehcx\dwblsdg.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\fav6[1].ico
- %HOMEPATH%\npmmmaehcx\qocjwde.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\fav7[1].ico
- %HOMEPATH%\npmmmaehcx\dnhbgcg.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\fav2[1].ico
- %HOMEPATH%\npmmmaehcx\snyrpia.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\fav1[1].ico
- %HOMEPATH%\npmmmaehcx\qtntvlc.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\fav4[1].ico
- %HOMEPATH%\npmmmaehcx\qwvtevv.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\fav3[1].ico
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'fu##sk.com':80
TCP:
Запросы HTTP GET:
- fu##sk.com/bin/fav5.ico
- fu##sk.com/bin/fav6.ico
- fu##sk.com/bin/fav7.ico
- fu##sk.com/bin/fav4.ico
- fu##sk.com/bin/fav1.ico
- fu##sk.com/bin/fav2.ico
- fu##sk.com/bin/fav3.ico
UDP:
- DNS ASK fu##sk.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
