Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\djdbfhfi.lnk
- <SYSTEM32>\tasks\opera scheduled autoupdate 711520318
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\hrgquuzy] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\hrgquuzy] 'ImagePath' = '%WINDIR%\SysWOW64\hrgquuzy\mohszhvl.exe /d"%TEMP%\99B1.tmp.exe"'
Модифицирует главную загрузочную запись (MBR).
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\windows\djdbfhfi\vgdutaja.exe
- %TEMP%\99b1.tmp.exe
- %TEMP%\b077.tmp.exe
- %TEMP%\mohszhvl.exe
- %TEMP%\c884.tmp.exe
- %TEMP%\649.tmp.exe
- %TEMP%\<INETFILES>\content.ie5\index.dat
- %TEMP%\<INETFILES>\content.ie5\desktop.ini
- %TEMP%\cookies\index.dat
- %TEMP%\history\history.ie5\index.dat
- %TEMP%\history\history.ie5\desktop.ini
- %HOMEPATH%\wihvgqys.exe
- %TEMP%\2246.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\djdbfhfi\vgdutaja.exe
- %TEMP%\<INETFILES>\content.ie5\desktop.ini
Удаляет следующие файлы
- %HOMEPATH%\wihvgqys.exe
Перемещает следующие файлы
- %TEMP%\mohszhvl.exe в %WINDIR%\syswow64\hrgquuzy\mohszhvl.exe
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://www.ms###csi.com/ncsi.txt
- http://37.##.127.236/2.php
- http://sa###kha1n.xyz/him.exe
Запросы HTTP POST
- http://cl####leankkl.net/
UDP
- DNS ASK gh###8kjhb.net
- DNS ASK cl####leankkl.net
- DNS ASK sa###kha1n.xyz
- DNS ASK ap#.2ip.ua
Другое
Создает и запускает на исполнение
- '%TEMP%\99b1.tmp.exe'
- '%TEMP%\b077.tmp.exe'
- '%TEMP%\c884.tmp.exe'
- '%TEMP%\649.tmp.exe'
- '%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\hrgquuzy\' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\mohszhvl.exe" %WINDIR%\SysWOW64\hrgquuzy\' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' create hrgquuzy binPath= "%WINDIR%\SysWOW64\hrgquuzy\mohszhvl.exe /d\"%TEMP%\99B1.tmp.exe\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' description hrgquuzy "wifi internet conection"' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' start hrgquuzy' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\hrgquuzy\
- '%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\mohszhvl.exe" %WINDIR%\SysWOW64\hrgquuzy\
- '%WINDIR%\syswow64\sc.exe' create hrgquuzy binPath= "%WINDIR%\SysWOW64\hrgquuzy\mohszhvl.exe /d\"%TEMP%\99B1.tmp.exe\"" type= own start= auto DisplayName= "wifi support"
- '%WINDIR%\syswow64\sc.exe' description hrgquuzy "wifi internet conection"
- '%WINDIR%\syswow64\sc.exe' start hrgquuzy
