Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\cqdgrps] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\cqdgrps] 'ImagePath' = '<SYSTEM32>\cqdgrps\kagzaiyh.exe /d"<Полный путь к файлу>"'
- [<HKLM>\SYSTEM\CurrentControlSet\services\cqdgrps] 'ImagePath' = '<SYSTEM32>\cqdgrps\kagzaiyh.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\kagzaiyh.exe
- C:\documents and settings\localservice:.repos
Перемещает следующие файлы
- %TEMP%\kagzaiyh.exe в <SYSTEM32>\cqdgrps\kagzaiyh.exe
Самоудаляется.
Сетевая активность
Подключается к
- '14#.#6.108.92':482
- 'ip##fo.io':80
- 'cm##9.com':80
- 'vi########er.arn03.hls.ttvnw.net':443
- '69.#1.136.5':443
- 'sm####n.libero.it':25
- 'mx######16001.pphosted.com':25
- 'ma##.##rodiscount.nl':25
- 'mx#.##rox.iphmx.com':25
- 'mx#.#anmail.net':25
- 'mx###.##il.gm0.yahoodns.net':25
- 'eu#.###.#rotection.outlook.com':25
- 'in#####.esatclear.ie':25
- 'mx####.##il.gm0.yahoodns.net':25
- 'mx###.##il.am0.yahoodns.net':25
TCP
Запросы HTTP GET
- http://www.google.com/
UDP
- DNS ASK mi##########m.mail.protection.outlook.com
- DNS ASK ma##.##rodiscount.nl
- DNS ASK xe##x.com
- DNS ASK mx#.##rox.iphmx.com
- DNS ASK da##.net
- DNS ASK mx#.#anmail.net
- DNS ASK ya###.com.tw
- DNS ASK mx###.##il.gm0.yahoodns.net
- DNS ASK ho##ail.it
- DNS ASK eu###iscount.nl
- DNS ASK re####ple.com.au
- DNS ASK ao#.com
- DNS ASK mx####.##il.gm0.yahoodns.net
- DNS ASK ya##o.it
- DNS ASK mx###.##il.am0.yahoodns.net
- DNS ASK br#####nsultores.com
- DNS ASK si###ates.com
- DNS ASK mx#######c01.gslb.pphosted.com
- DNS ASK ya###.com.ar
- DNS ASK ac#.gov.au
- DNS ASK mt##.##0.yahoodns.net
- DNS ASK vi########er.arn03.hls.ttvnw.net
- DNS ASK ip##fo.io
- DNS ASK 19#.###.211.95.in-addr.arpa
- DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
- DNS ASK 19#.###.#11.95.bl.spamcop.net
- DNS ASK 19#.###.#11.95.zen.spamhaus.org
- DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
- DNS ASK 19#.###.#11.95.cbl.abuseat.org
- DNS ASK li##ro.it
- DNS ASK sm####n.libero.it
- DNS ASK ho##ail.de
- DNS ASK cm##9.com
- DNS ASK eu#.###.#rotection.outlook.com
- DNS ASK mx######16001.pphosted.com
- DNS ASK es###lear.ie
- DNS ASK in#####.esatclear.ie
- DNS ASK ti##ali.it
- DNS ASK et###.#ail.tiscali.it
- DNS ASK na##.com
- DNS ASK mx#.#ate.com
- DNS ASK google.com
- DNS ASK sl##.com
- DNS ASK ex###mobil.com
- '<DNS_SERVER>':53
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cqdgrps\kagzaiyh.exe' /d"<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\cqdgrps\' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\kagzaiyh.exe" <SYSTEM32>\cqdgrps\' (со скрытым окном)
- '<SYSTEM32>\sc.exe' create cqdgrps binPath= "<SYSTEM32>\cqdgrps\kagzaiyh.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
- '<SYSTEM32>\sc.exe' description cqdgrps "wifi internet conection"' (со скрытым окном)
- '<SYSTEM32>\sc.exe' start cqdgrps' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\cqdgrps\
- '<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\kagzaiyh.exe" <SYSTEM32>\cqdgrps\
- '<SYSTEM32>\sc.exe' create cqdgrps binPath= "<SYSTEM32>\cqdgrps\kagzaiyh.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
- '<SYSTEM32>\sc.exe' description cqdgrps "wifi internet conection"
- '<SYSTEM32>\sc.exe' start cqdgrps
- '<SYSTEM32>\svchost.exe'
