Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'YhsDtyxq' = '<LS_APPDATA>\qbbqjyra\yhsdtyxq.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,<LS_APPDATA>\qbbqjyra\yhsdtyxq.exe'
Создает или изменяет следующие файлы
- %HOMEPATH%\start menu\programs\startup\yhsdtyxq.exe
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\idkiblht.exe
- %TEMP%\pmrbygvo.exe
- %ALLUSERSPROFILE%\application data\gigemrit.log
- <LS_APPDATA>\shbgodes.log
- <LS_APPDATA>\qbbqjyra\yhsdtyxq.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %HOMEPATH%\start menu\programs\startup\yhsdtyxq.exe
Сетевая активность
UDP
- DNS ASK google.com
- DNS ASK yj####uhogysf.com
- DNS ASK tg###egcu.com
- DNS ASK er####slmbebrn.com
- DNS ASK ya##o.com
- DNS ASK ol#####vlhypjmbht.com
- DNS ASK ay####obqngj.com
- DNS ASK mo####iuvlcmbq.com
- DNS ASK dj###gfa.com
- DNS ASK pm###utwcr.com
- DNS ASK gd#####njiygogcpqsm.com
- DNS ASK xh#####vvyhrwsoqob.com
- DNS ASK ni#####hrkdmxyss.com
- DNS ASK nn#####udmvnlkgbmk.com
- DNS ASK gx#####bdjfgccqqxbw.com
- DNS ASK vx#####qluggkhrmkvn.com
- DNS ASK hg####viykfbfcj.com
- DNS ASK yt###spxd.com
- DNS ASK yg###bpikml.com
- DNS ASK qt####hvclsyn.com
- DNS ASK cv#####dvmtidjdl.com
- DNS ASK dj####gjshvb.com
- DNS ASK nr####uyfbbjqq.com
- DNS ASK xh####qwjtnbgi.com
- DNS ASK uu####cmxjsp.com
- DNS ASK mw###fhxw.com
- DNS ASK tx#####lwwhoqanvi.com
- DNS ASK lq####pyvsnxk.com
- DNS ASK uk#####siohfgbpbl.com
- DNS ASK cd###eoenun.com
- DNS ASK jv#####usabruvvxcpd.com
- DNS ASK vg###wblb.com
- DNS ASK dr####osjmhkod.com
- DNS ASK ng###stvdun.com
- DNS ASK wp###qaynd.com
- DNS ASK sn#####eshhbfmvj.com
- DNS ASK so#####cynidwchmmmw.com
- DNS ASK bo###cxbyw.com
- DNS ASK ou#####mgseponqhb.com
- DNS ASK to###pfokxr.com
- DNS ASK bing.com
- DNS ASK ti#####vyqrpwngq.com
- DNS ASK ed#####trsgabmwn.com
- DNS ASK yg####bhstodku.com
- DNS ASK si####ideqvrck.com
- DNS ASK gv#####ltxsjfbjn.com
- DNS ASK ut###bhlmsj.com
- DNS ASK fq###tenw.com
- DNS ASK wo####rdehxng.com
- DNS ASK ls#####jyhycekgl.com
- DNS ASK ds#####fwwiptqafygk.com
- DNS ASK te#####reedomain.com
- DNS ASK lv####awohdcj.com
- DNS ASK qs####thqlxhajh.com
Другое
Создает и запускает на исполнение
- '%TEMP%\idkiblht.exe'
Запускает на исполнение
- '<SYSTEM32>\svchost.exe'
