Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'cxglacsa' = '"%APPDATA%\Microsoft\Yvyismq\yvyismq.exe"'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\ppqcjsvm] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\ppqcjsvm] 'ImagePath' = '%APPDATA%\Microsoft\Yvyismq\yvyismq.exe /D'
Создает следующие сервисы
- 'ppqcjsvm' %APPDATA%\Microsoft\Yvyismq\yvyismq.exe /D
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\ping.exe
следующие пользовательские процессы:
- iexplore.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль iphlpapi.dll
- Процесс iexplore.exe, модуль advapi32.dll
- Процесс firefox.exe, модуль iphlpapi.dll
- Процесс firefox.exe, модуль advapi32.dll
- Процесс iexplore.exe, модуль dnsapi.dll
- Процесс firefox.exe, модуль dnsapi.dll
- Процесс iexplore.exe, модуль wininet.dll
- Процесс firefox.exe, модуль wininet.dll
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\yvyismq\yvyismq.exe
- %APPDATA%\microsoft\yvyismq\yvyism.dll
- %APPDATA%\microsoft\yvyismq\yvyismq32.dll
- C:\users\oijlb.jbb
- C:\users\rcxbb81.tmp
- C:\users\afnlli.lnk
- %APPDATA%\microsoft\yvyismq\cyvyismq32.dll
Перемещает следующие файлы
- C:\users\rcxbb81.tmp в C:\users\oijlb.jbb
Самоудаляется.
Сетевая активность
Подключается к
- 'ip###ress.com':80
- 'ip###ress.com':443
- 'ip####essworld.com':80
- '66.##.238.226':21
- '19#.#.145.33':8080
- '20#.#34.129.246':21
TCP
Запросы HTTP GET
- http://www.ip###ress.com/
- http://www.ip####essworld.com/
Другие
- 'ip###ress.com':443
- '66.##.238.226':21
UDP
- DNS ASK au###nson.in
- DNS ASK ip###ress.com
- DNS ASK zu###distr.in
- DNS ASK po####vtkn.in.ua
- DNS ASK le####uytdk.info
- DNS ASK so####mentis.org
- DNS ASK ic####asudskfoe.org
- DNS ASK ip####essworld.com
- DNS ASK cu####iakfuuasd.net
- DNS ASK microsoft.com
- DNS ASK st####.rapidssl.com
Другое
Отключает сертификат
Ищет следующие окна
- ClassName: 'yvyismq' WindowName: 'yvyismq'
Создает и запускает на исполнение
- '%APPDATA%\microsoft\yvyismq\yvyismq.exe'
- '%APPDATA%\microsoft\yvyismq\yvyismq.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping -n 10 localhost && del "<Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ping -n 10 localhost && del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\ping.exe' -n 10 localhost
