Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'OtyGumqq' = '<LS_APPDATA>\gnhthmhd\otygumqq.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,<LS_APPDATA>\gnhthmhd\otygumqq.exe'
Создает или изменяет следующие файлы
- %HOMEPATH%\start menu\programs\startup\otygumqq.exe
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\xpnlcyww.exe
- %TEMP%\fvubatlo.exe
- %ALLUSERSPROFILE%\application data\vumenfbt.log
- <LS_APPDATA>\itejpqts.log
- <LS_APPDATA>\gnhthmhd\otygumqq.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %HOMEPATH%\start menu\programs\startup\otygumqq.exe
Сетевая активность
UDP
- DNS ASK google.com
- DNS ASK ly###mlekk.com
- DNS ASK oq####vvednfp.com
- DNS ASK mx####ljeqiaca.com
- DNS ASK ya##o.com
- DNS ASK se####jkqinjgh.com
- DNS ASK cc#####cxdgmmjtyrvv.com
- DNS ASK fy####wawvlxtk.com
- DNS ASK ot#####lppubfbqhgv.com
- DNS ASK dr###gjmrp.com
- DNS ASK cg###wlvs.com
- DNS ASK pa#####isflssooa.com
- DNS ASK cn###kryu.com
- DNS ASK ui####fiknlfh.com
- DNS ASK ps####fiispnbu.com
- DNS ASK bx####lgiphd.com
- DNS ASK dp#####ywkhhanyvw.com
- DNS ASK yw###sta.com
- DNS ASK au####gdsuinxk.com
- DNS ASK sc###efrgu.com
- DNS ASK sj####jflusmbb.com
- DNS ASK do#####hxojkwvjsflr.com
- DNS ASK ra####nkfeyayw.com
- DNS ASK ab#####wpcqnpeop.com
- DNS ASK ul#####unugnqjsf.com
- DNS ASK pw####dbykfarg.com
- DNS ASK rg###dyw.com
- DNS ASK th#####lptfeelnwc.com
- DNS ASK nm####bcyqss.com
- DNS ASK vb###sjdy.com
- DNS ASK km###sdbqk.com
- DNS ASK xe#####jcqagcqeic.com
- DNS ASK lp####jkrvtkpgw.com
- DNS ASK ki###rqr.com
- DNS ASK fc#####nanhtkedt.com
- DNS ASK mn#####gxeniuxpioq.com
- DNS ASK vt####lifdlryd.com
- DNS ASK fd###cvlrx.com
- DNS ASK kg###pbn.com
- DNS ASK dv####oqmtoct.com
- DNS ASK bing.com
- DNS ASK lh###ieidru.com
- DNS ASK bg#####abditnyvle.com
- DNS ASK qw#####knmilfrrniyl.com
- DNS ASK tl###bolig.com
- DNS ASK nn#####spyheuhralrt.com
- DNS ASK hi###lol.com
- DNS ASK dj####xvpmko.com
- DNS ASK te####inxfhasw.com
- DNS ASK er###nfmgrq.com
- DNS ASK ws####wsqmao.com
- DNS ASK as###ssomy.com
- DNS ASK co#####uxvlputvd.com
- DNS ASK bw#####uqivnnlcbmif.com
Другое
Создает и запускает на исполнение
- '%TEMP%\xpnlcyww.exe'
Запускает на исполнение
- '<SYSTEM32>\svchost.exe'
