Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindodnywsUpdate' = '%TEMP%\78704365\qcl.exe %TEMP%\78704365\xni=nap'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\78704365\tsi.dat
- %TEMP%\78704365\rau.pdf
- %TEMP%\78704365\tfa.mp4
- %TEMP%\78704365\own.mp3
- %TEMP%\78704365\jrg.bmp
- %TEMP%\78704365\cnc.pdf
- %TEMP%\78704365\mdu.xl
- %TEMP%\78704365\axq.docx
- %TEMP%\78704365\idc.mp4
- %TEMP%\78704365\lme.mp4
- %TEMP%\78704365\msn.jpg
- %TEMP%\78704365\kxn.icm
- %TEMP%\78704365\mmo.xl
- %TEMP%\78704365\qvi.ico
- %TEMP%\78704365\qpq.ppt
- %TEMP%\78704365\mik.mp3
- %TEMP%\78704365\ovl.xl
- %TEMP%\78704365\npm.ppt
- %TEMP%\78704365\dek.icm
- %TEMP%\78704365\ole.xl
- %TEMP%\78704365\bfh.xl
- %TEMP%\78704365\qow.dat
- %TEMP%\78704365\ukl.txt
- %TEMP%\78704365\ewi.jpg
- %TEMP%\78704365\rni.txt
- %TEMP%\78704365\tfc.mp4
- %TEMP%\78704365\cwc.ico
- %TEMP%\78704365\qcl.exe
- %TEMP%\78704365\fix.txt
- %TEMP%\78704365\abw.ppt
- %TEMP%\78704365\ibh.mp4
- %TEMP%\78704365\jim.xl
- %TEMP%\78704365\oox.jpg
- %TEMP%\78704365\moo.docx
- %TEMP%\78704365\ssq.mp3
- %TEMP%\78704365\vdx.dat
- %TEMP%\78704365\lim.pdf
- %TEMP%\78704365\xni=nap
- %TEMP%\78704365\ojv.mp3
- %TEMP%\78704365\sma.ico
- %TEMP%\78704365\cdh.mp3
- %TEMP%\78704365\jpf.bmp
- %TEMP%\78704365\ccj.ppt
- %TEMP%\78704365\cqk.docx
- %TEMP%\78704365\kbg.bmp
- %TEMP%\78704365\igp.txt
- %TEMP%\78704365\hnx.docx
- %TEMP%\78704365\tai.dat
- %TEMP%\78704365\smu.ico
- %TEMP%\78704365\jxa.docx
- %TEMP%\78704365\BZOZP
- %APPDATA%\VFGRBTR\logs.dat
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\78704365\abw.ppt
- %TEMP%\78704365\npm.ppt
- %TEMP%\78704365\ojv.mp3
- %TEMP%\78704365\ole.xl
- %TEMP%\78704365\oox.jpg
- %TEMP%\78704365\ovl.xl
- %TEMP%\78704365\own.mp3
- %TEMP%\78704365\qcl.exe
- %TEMP%\78704365\qow.dat
- %TEMP%\78704365\qpq.ppt
- %TEMP%\78704365\ibh.mp4
- %TEMP%\78704365\qvi.ico
- %TEMP%\78704365\rni.txt
- %TEMP%\78704365\sma.ico
- %TEMP%\78704365\smu.ico
- %TEMP%\78704365\ssq.mp3
- %TEMP%\78704365\tai.dat
- %TEMP%\78704365\tfa.mp4
- %TEMP%\78704365\tfc.mp4
- %TEMP%\78704365\tsi.dat
- %TEMP%\78704365\ukl.txt
- %TEMP%\78704365\moo.docx
- %TEMP%\78704365\msn.jpg
- %TEMP%\78704365\mmo.xl
- %TEMP%\78704365\mik.mp3
- %TEMP%\78704365\mdu.xl
- %TEMP%\78704365\bfh.xl
- %TEMP%\78704365\ccj.ppt
- %TEMP%\78704365\cdh.mp3
- %TEMP%\78704365\cnc.pdf
- %TEMP%\78704365\cqk.docx
- %TEMP%\78704365\cwc.ico
- %TEMP%\78704365\dek.icm
- %TEMP%\78704365\ewi.jpg
- %TEMP%\78704365\fix.txt
- %TEMP%\78704365\vdx.dat
- %TEMP%\78704365\rau.pdf
- %TEMP%\78704365\hnx.docx
- %TEMP%\78704365\igp.txt
- %TEMP%\78704365\jim.xl
- %TEMP%\78704365\jpf.bmp
- %TEMP%\78704365\jrg.bmp
- %TEMP%\78704365\jxa.docx
- %TEMP%\78704365\kbg.bmp
- %TEMP%\78704365\kxn.icm
- %TEMP%\78704365\lim.pdf
- %TEMP%\78704365\lme.mp4
- %TEMP%\78704365\axq.docx
- %TEMP%\78704365\idc.mp4
- %TEMP%\78704365\xni=nap
Удаляет следующие файлы:
- %TEMP%\78704365\BZOZP
Сетевая активность:
Подключается к:
- 'ca####as.hicam.net':2404
- 'ca#######x.chickenkiller.com':2404
- 'ca#####s45.hopto.org':2404
- 'ca#####s.libfoobar.so':2404
- 'du#####ute.sendsmtp.com':2404
- 'se#####s.wifizone.org':2404
- 'wi##.con-ip.com':2404
- 'rs######r.jumpingcrab.com':2404
UDP:
- DNS ASK www.google.com
- DNS ASK ca####as.hicam.net
- DNS ASK ca#######x.chickenkiller.com
- DNS ASK ca#####s45.hopto.org
- DNS ASK ca#####s.libfoobar.so
- DNS ASK du#####ute.sendsmtp.com
- DNS ASK se#####s.wifizone.org
- DNS ASK wi##.con-ip.com
- DNS ASK rs######r.jumpingcrab.com
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\78704365\qcl.exe' xni=nap
- '%TEMP%\78704365\qcl.exe' %TEMP%\78704365\BZOZP
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
