Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = '%ProgramFiles%\Mozilla\cqzfbxn.dll'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- D:\windows\system32\config\software.log1
- D:\windows\system32\winevt\logs\system.evtx
- D:\windows\system32\config\system
- D:\windows\system32\config\system.log1
- D:\progra~3\mozilla\cqzfbxn.dll
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive1.dat
- D:\system volume information\syscache.hve
- D:\system volume information\syscache.hve.log1
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\progra~3\mozilla\dlqnapc.exe
- D:\users\user\ntuser.dat
- D:\users\user\ntuser.dat.log1
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\39d80535a21e286b3c662765c5f09aceb927e77d
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
- D:\windows\system32\config\software
- D:\windows\system32\tasks\oorzdlg
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
Удаляет следующие файлы
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
Подменяет следующие файлы
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\prefs-1.js
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\prefs.js
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
Сетевая активность
TCP
Другие
- 'localhost':49158
- 'fi#####.###tings.services.mozilla.com':443
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- 'D:\progra~3\mozilla\dlqnapc.exe' -ixvlaxm
- 'D:\progra~3\mozilla\dlqnapc.exe' -ixvlaxm' (со скрытым окном)
