Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'eajsox' = 'C:\Users\user\AppData\Roaming\qavfoktdyie\nwsclgplu.exe "C:\Users\user\A...
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- qrwlz.exe
Изменения в файловой системе
Создает следующие файлы
- D:\windows\system32\config\software.log1
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\system32\winevt\logs\system.evtx
- D:\system volume information\syscache.hve
- D:\system volume information\syscache.hve.log1
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
- D:\users\user\appdata\local\microsoft\windows\<INETFILES>\content.ie5\0y9o17dr\json[1].gp
- D:\windows\system32\config\system
- D:\windows\system32\config\system.log1
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\39d80535a21e286b3c662765c5f09aceb927e77d
- D:\users\user\appdata\roaming\qavfoktdyie\nwsclgplu.exe
- D:\users\user\appdata\local\temp\qrwlz.exe
- D:\users\user\appdata\local\temp\aztvpotk.nx
- D:\users\user\appdata\local\temp\erzstkxdhdq.i
- D:\users\user\appdata\local\temp\nsw9849.tmp
- D:\users\user\ntuser.dat
- D:\users\user\ntuser.dat.log1
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite
- D:\windows\system32\config\software
- D:\windows\system32\winevt\logs\application.evtx
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive1.dat
Удаляет следующие файлы
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
Сетевая активность
Подключается к
- 'jo####o.duckdns.org':3641
- 'ge###ugin.net':80
TCP
Запросы HTTP GET
- http://ge###ugin.net/json.gp
Другие
- 'jo####o.duckdns.org':3641
- 'localhost':49158
- '34.##0.144.191':443
- 'fi#####.###tings.services.mozilla.com':443
UDP
- DNS ASK jo####o.duckdns.org
- DNS ASK ge###ugin.net
Другое
Ищет следующие окна
- ClassName: 'SystemTray_Main' WindowName: ''
Создает и запускает на исполнение
- 'D:\users\user\appdata\local\temp\qrwlz.exe' C:\Users\user\AppData\Local\Temp\aztvpotk.nx
- 'D:\users\user\appdata\local\temp\qrwlz.exe'
