Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\96404405\hqk.exe %TEMP%\96404405\kek=atg'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%TEMP%\96404405\hqk.exe' %TEMP%\96404405\DYUGQ
- '%TEMP%\96404405\hqk.exe' kek=atg
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\96404405\xni.mp3
- %TEMP%\96404405\nao.mp3
- %TEMP%\96404405\reh.xl
- %TEMP%\96404405\pkx.txt
- %TEMP%\96404405\ofg.docx
- %TEMP%\96404405\gkm.ico
- %TEMP%\96404405\hub.icm
- %TEMP%\96404405\ect.ppt
- %TEMP%\96404405\gtx.docx
- %TEMP%\96404405\mnp.ppt
- %TEMP%\96404405\klp.ico
- %TEMP%\96404405\biu.pdf
- %TEMP%\96404405\DYUGQ
- %TEMP%\96404405\tlt.bmp
- %TEMP%\96404405\eqs.docx
- %APPDATA%\remcos\logs.dat
- %APPDATA%\Screenshots\time_20171120_045718.png
- %TEMP%\96404405\ini
- %TEMP%\96404405\nmw.jpg
- %TEMP%\96404405\odf.jpg
- %TEMP%\96404405\riu.docx
- %TEMP%\96404405\ura.bmp
- %TEMP%\96404405\bxt.mp4
- %TEMP%\96404405\rmc.jpg
- %TEMP%\96404405\cqu.mp3
- %TEMP%\96404405\dee.jpg
- %TEMP%\96404405\gjw.ico
- %TEMP%\96404405\rio.docx
- %TEMP%\96404405\ooe.jpg
- %TEMP%\96404405\tpb.bmp
- %TEMP%\96404405\hqk.exe
- %TEMP%\96404405\kek=atg
- %TEMP%\96404405\vwq.xl
- %TEMP%\96404405\rla.ppt
- %TEMP%\96404405\bwf.bmp
- %TEMP%\96404405\ber.mp3
- %TEMP%\96404405\xdu.mp4
- %TEMP%\96404405\ddw.mp4
- %TEMP%\96404405\eup.txt
- %TEMP%\96404405\nur.xl
- %TEMP%\96404405\lju.dat
- %TEMP%\96404405\wvc.bmp
- %TEMP%\96404405\btr.ico
- %TEMP%\96404405\ohi.icm
- %TEMP%\96404405\nuk.txt
- %TEMP%\96404405\ljv.txt
- %TEMP%\96404405\qoq.dat
- %TEMP%\96404405\rvr.mp4
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\96404405\pkx.txt
- %TEMP%\96404405\ooe.jpg
- %TEMP%\96404405\qoq.dat
- %TEMP%\96404405\rio.docx
- %TEMP%\96404405\reh.xl
- %TEMP%\96404405\ohi.icm
- %TEMP%\96404405\nuk.txt
- %TEMP%\96404405\nmw.jpg
- %TEMP%\96404405\nur.xl
- %TEMP%\96404405\ofg.docx
- %TEMP%\96404405\odf.jpg
- %TEMP%\96404405\vwq.xl
- %TEMP%\96404405\ura.bmp
- %TEMP%\96404405\wvc.bmp
- %TEMP%\96404405\xni.mp3
- %TEMP%\96404405\xdu.mp4
- %TEMP%\96404405\tpb.bmp
- %TEMP%\96404405\rla.ppt
- %TEMP%\96404405\riu.docx
- %TEMP%\96404405\rmc.jpg
- %TEMP%\96404405\tlt.bmp
- %TEMP%\96404405\rvr.mp4
- %TEMP%\96404405\dee.jpg
- %TEMP%\96404405\ddw.mp4
- %TEMP%\96404405\ect.ppt
- %TEMP%\96404405\eup.txt
- %TEMP%\96404405\eqs.docx
- %TEMP%\96404405\cqu.mp3
- %TEMP%\96404405\biu.pdf
- %TEMP%\96404405\ber.mp3
- %TEMP%\96404405\btr.ico
- %TEMP%\96404405\bxt.mp4
- %TEMP%\96404405\bwf.bmp
- %TEMP%\96404405\lju.dat
- %TEMP%\96404405\klp.ico
- %TEMP%\96404405\ljv.txt
- %TEMP%\96404405\nao.mp3
- %TEMP%\96404405\mnp.ppt
- %TEMP%\96404405\kek=atg
- %TEMP%\96404405\gkm.ico
- %TEMP%\96404405\gjw.ico
- %TEMP%\96404405\gtx.docx
- %TEMP%\96404405\hub.icm
- %TEMP%\96404405\hqk.exe
Удаляет следующие файлы:
- %TEMP%\96404405\DYUGQ
Сетевая активность:
Подключается к:
- 'me####h.hopto.org':2120
UDP:
- DNS ASK me####h.hopto.org
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
