Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'OfficeClickToRun' = '%TEMP%\96987348\ohq.exe %TEMP%\96987348\qna-sqx'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\96987348\cxq.dat
- %TEMP%\96987348\luv.docx
- %TEMP%\96987348\cii.mp4
- %TEMP%\96987348\dlj.jpg
- %TEMP%\96987348\ned.ico
- %TEMP%\96987348\loe.mp3
- %TEMP%\96987348\bsw.txt
- %TEMP%\96987348\kul.docx
- %TEMP%\96987348\rnc.txt
- %TEMP%\96987348\xcx.mp3
- %TEMP%\96987348\asu.dat
- %TEMP%\96987348\ake.xl
- %TEMP%\96987348\lrm.mp4
- %TEMP%\96987348\eoh.icm
- %TEMP%\96987348\xbm.mp4
- %TEMP%\96987348\guo.dat
- %TEMP%\96987348\vph.pdf
- %TEMP%\96987348\dia.pdf
- %TEMP%\96987348\bjq.mp4
- %TEMP%\96987348\kei.ppt
- %TEMP%\96987348\wtg.docx
- %TEMP%\96987348\vqufd
- %TEMP%\96987348\fro.ico
- %TEMP%\96987348\ahk.dat
- %TEMP%\96987348\mnx.txt
- %TEMP%\96987348\gnr.ico
- %TEMP%\96987348\kll.dat
- %TEMP%\96987348\ohq.exe
- %TEMP%\96987348\teh.xl
- %TEMP%\96987348\fhp.xl
- %TEMP%\96987348\aaw.xl
- %TEMP%\96987348\sij.mp3
- %TEMP%\96987348\cut.ico
- %TEMP%\96987348\ijb.docx
- %TEMP%\96987348\bxx.dat
- %TEMP%\96987348\joi.mp3
- %TEMP%\96987348\gkd.icm
- %TEMP%\96987348\qna-sqx
- %TEMP%\96987348\uwn.mp4
- %TEMP%\96987348\apw.bmp
- %TEMP%\96987348\pga.jpg
- %TEMP%\96987348\ecr.ico
- %TEMP%\96987348\oqp.txt
- %TEMP%\96987348\isc.dat
- %TEMP%\96987348\acg.xl
- %TEMP%\96987348\lnd.ppt
- %TEMP%\96987348\fcm.jpg
- %TEMP%\96987348\hir.pdf
- %TEMP%\96987348\iit.pdf
- %TEMP%\96987348\ngv.mp4
- %TEMP%\96987348\ini
- %TEMP%\96987348\spd
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\96987348\aaw.xl
- %TEMP%\96987348\joi.mp3
- %TEMP%\96987348\kei.ppt
- %TEMP%\96987348\kll.dat
- %TEMP%\96987348\kul.docx
- %TEMP%\96987348\lnd.ppt
- %TEMP%\96987348\loe.mp3
- %TEMP%\96987348\lrm.mp4
- %TEMP%\96987348\luv.docx
- %TEMP%\96987348\mnx.txt
- %TEMP%\96987348\ned.ico
- %TEMP%\96987348\ngv.mp4
- %TEMP%\96987348\ohq.exe
- %TEMP%\96987348\oqp.txt
- %TEMP%\96987348\pga.jpg
- %TEMP%\96987348\qna-sqx
- %TEMP%\96987348\rnc.txt
- %TEMP%\96987348\sij.mp3
- %TEMP%\96987348\teh.xl
- %TEMP%\96987348\uwn.mp4
- %TEMP%\96987348\vph.pdf
- %TEMP%\96987348\wtg.docx
- %TEMP%\96987348\isc.dat
- %TEMP%\96987348\xbm.mp4
- %TEMP%\96987348\ijb.docx
- %TEMP%\96987348\hir.pdf
- %TEMP%\96987348\acg.xl
- %TEMP%\96987348\ahk.dat
- %TEMP%\96987348\ake.xl
- %TEMP%\96987348\apw.bmp
- %TEMP%\96987348\asu.dat
- %TEMP%\96987348\bjq.mp4
- %TEMP%\96987348\bsw.txt
- %TEMP%\96987348\bxx.dat
- %TEMP%\96987348\cii.mp4
- %TEMP%\96987348\cut.ico
- %TEMP%\96987348\cxq.dat
- %TEMP%\96987348\dia.pdf
- %TEMP%\96987348\dlj.jpg
- %TEMP%\96987348\ecr.ico
- %TEMP%\96987348\eoh.icm
- %TEMP%\96987348\fcm.jpg
- %TEMP%\96987348\fhp.xl
- %TEMP%\96987348\fro.ico
- %TEMP%\96987348\gkd.icm
- %TEMP%\96987348\gnr.ico
- %TEMP%\96987348\guo.dat
- %TEMP%\96987348\iit.pdf
- %TEMP%\96987348\xcx.mp3
Удаляет следующие файлы
- %TEMP%\96987348\vqufd
Сетевая активность
UDP
- DNS ASK jl#.##uma101.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\96987348\ohq.exe' qna-sqx
- '%TEMP%\96987348\ohq.exe' %TEMP%\96987348\VQUFD
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
