Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к файлу>' = '<Полный путь к файлу>:*:Enabled:<Имя файла>....
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:\cqdlq\<Имя файла>\<Имя файла>.exe' = 'C:\cqdlq\<Имя файла>\<Имя фай...
Изменения в файловой системе:
Создает следующие файлы:
- C:\cqdlq\<Имя файла>\<Имя файла>.exe
- %HOMEPATH%\Desktop\<Имя файла>.lnk
- C:\log.txt
- C:\cqdlq\<Имя файла>\DLQ_<Имя файла>.exe
- %HOMEPATH%\Desktop\јЗТдґ«Жж.lnk
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\cqdlq\<Имя файла>\DLQ_<Имя файла>.exe
- %HOMEPATH%\Desktop\јЗТдґ«Жж.lnk
Удаляет следующие файлы:
- <Полный путь к файлу>
- C:\log.txt
- %HOMEPATH%\Desktop\јЗТдґ«Жж.lnk
Подменяет следующие файлы:
- C:\log.txt
Сетевая активность:
Подключается к:
- 'ji####.###-cn-hangzhou.aliyuncs.com':80
- '12#.#6.206.5':5768
- '12#.#1.21.161':22299
- '12#.#6.102.145':27920
- '12#.#5.74.73':4472
- '12#.#5.126.140':25705
- '12#.#6.208.187':2012
- '12#.#5.73.253':1083
- '12#.#6.208.25':22081
- '12#.#0.35.156':2584
- '12#.#6.53.137':16975
- '12#.#5.72.191':7586
- '12#.#6.66.200':17777
- '12#.#5.127.98':19813
- '12#.#5.127.11':2163
- '12#.#5.74.37':8348
- '12#.#5.112.62':13552
- '12#.#5.113.179':5551
- '12#.#5.127.3':8629
- '12#.#6.102.65':19675
- '12#.#5.73.139':7946
- 'qq.com':80
- '12#.#5.74.26':2916
- '12#.#5.74.130':4218
- '12#.#3.198.159':16741
- '12#.#6.218.63':25365
- '12#.#5.74.150':7689
- '12#.#6.67.71':24111
- 'lb.##epk.com':80
- '12#.#5.83.43':6937
- '12#.#5.74.127':1940
- '12#.#0.17.184':12701
- '12#.#1.22.175':17193
- '12#.#5.72.238':1939
- '12#.#0.33.152':9701
- '12#.#5.126.210':26656
- '12#.#0.30.196':22727
- '12#.#6.206.241':29882
- '12#.#3.198.114':10193
- '12#.#6.96.84':6259
TCP:
Запросы HTTP GET:
- http://ji####.###-cn-hangzhou.aliyuncs.com/01.txt
- http://lb.##epk.com/02.txt
- http://www.qq.com/ via qq.com
UDP:
- DNS ASK ji####.###-cn-hangzhou.aliyuncs.com
- DNS ASK lb.##epk.com
- DNS ASK www.qq.com
- '12#.#1.21.161':22299
- '12#.#6.102.145':27920
- '12#.#5.74.73':4472
- '12#.#5.126.140':25705
- '12#.#6.208.187':2012
- '12#.#0.35.156':2584
- '12#.#6.102.65':19675
- '12#.#6.53.137':16975
- '12#.#6.206.5':5768
- '12#.#5.72.191':7586
- '12#.#6.66.200':17777
- '12#.#5.127.98':19813
- '12#.#5.127.11':2163
- '12#.#5.74.37':8348
- '12#.#5.112.62':13552
- '12#.#5.113.179':5551
- '12#.#5.74.127':1940
- '12#.#3.198.114':10193
- '12#.#6.208.25':22081
- '12#.#5.74.130':4218
- '12#.#3.198.159':16741
- '12#.#6.218.63':25365
- '12#.#5.74.150':7689
- '12#.#6.67.71':24111
- '12#.#5.83.43':6937
- '12#.#5.127.3':8629
- '12#.#5.73.253':1083
- '12#.#0.17.184':12701
- '12#.#1.22.175':17193
- '12#.#5.72.238':1939
- '12#.#0.33.152':9701
- '12#.#5.126.210':26656
- '12#.#0.30.196':22727
- '12#.#5.73.139':7946
- '12#.#6.206.241':29882
- '12#.#5.74.26':2916
- '12#.#6.96.84':6259
Другое:
Ищет следующие окна:
- ClassName: 'Progman' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
Создает и запускает на исполнение:
- 'C:\cqdlq\<Имя файла>\<Имя файла>.exe' "<Полный путь к файлу>" newdlq
- 'C:\cqdlq\<Имя файла>\DLQ_<Имя файла>.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c rasdial>C:\log.txt
- '<SYSTEM32>\rasdial.exe'
