Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'winlogon.exe' = 'c:\whsc\QXXQBW~1.EXE c:\whsc\bpgkl.xl'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\dvdplay.exe
следующие пользовательские процессы:
- regsvcs.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\ndbslfwedc.jiu
- C:\whsc\lpxhbuc.jpg
- C:\whsc\lepkki.xl
- C:\whsc\ldcm.jpg
- C:\whsc\kfprmp.bmp
- C:\whsc\kartofgaci.icm
- C:\whsc\jswkkc.exe
- C:\whsc\jpmpdsdtud.dat
- C:\whsc\jlafnmvx.mp3
- C:\whsc\jjioq.exe
- C:\whsc\jhhxanvnpv.3gp
- C:\whsc\hnla.ppt
- C:\whsc\hlpng.mp3
- C:\whsc\hiroqokb.txt
- C:\whsc\ahmv.exe
- C:\whsc\gsce.dll
- C:\whsc\fplei.mp3
- C:\whsc\flhuefd.xls
- C:\whsc\eehlxk.pdf
- C:\whsc\drqsq.icm
- C:\whsc\drpfgfxa.mp3
- C:\whsc\dli-n.vbe
- C:\whsc\coltcq.xl
- C:\whsc\clawieqdxr.icm
- C:\whsc\cjgb.msc
- C:\whsc\bvaxnxl.exe
- C:\whsc\bpgkl.xl
- C:\whsc\bcnwjxoh.msc
- C:\whsc\aslr.3gp
- C:\whsc\goou.pdf
- C:\whsc\arjffrnp.icm
- C:\whsc\lvoijiro.icm
- C:\whsc\ugjxenaitd.bmp
- C:\whsc\xvkhkqb.msc
- C:\whsc\xvbs.jpg
- C:\whsc\wtgulkivfc.icm
- C:\whsc\wnhgfff.mp3
- C:\whsc\wneg.docx
- C:\whsc\wkjopq.mp2
- C:\whsc\wfqxskdt.mp3
- C:\whsc\wcuhkxfla.mp3
- C:\whsc\wagoonh.bmp
- C:\whsc\vrawc.icm
- C:\whsc\vorpphp.xls
- C:\whsc\vjwtqrmlae.mp2
- C:\whsc\upmimdm.exe
- C:\whsc\mmnutxn.dll
- C:\whsc\mlws.docx
- C:\whsc\sxkqgrvnbd.msc
- C:\whsc\sqbit.ppt
- C:\whsc\rcbnsm.dat
- C:\whsc\qxxqbwa.mp3.exe
- C:\whsc\qxxqbwa.mp3
- C:\whsc\qsqjxipbcf.dll
- C:\whsc\qjqksjhxh.exe
- C:\whsc\pwfrvoq.bin
- C:\whsc\pjstkmk.dat
- C:\whsc\oxncwgjjcj.xls
- C:\whsc\nnircvsar.txt
- C:\whsc\nmbswrk.msc
- C:\whsc\ndbslfwedc.jiu
- C:\whsc\ujcwcbjhi.icm
- C:\whsc\aejowuflif.mp2
- %TEMP%\rarsfx0\qxxqbwa.mp3.exe
- %HOMEPATH%\temp\bvaxnxl.exe
- %TEMP%\rarsfx0\qsqjxipbcf.dll
- %TEMP%\rarsfx0\drpfgfxa.mp3
- %TEMP%\rarsfx0\goou.pdf
- %TEMP%\rarsfx0\aslr.3gp
- %TEMP%\rarsfx0\vrawc.icm
- %TEMP%\rarsfx0\lvoijiro.icm
- %TEMP%\rarsfx0\vjwtqrmlae.mp2
- %TEMP%\rarsfx0\xvkhkqb.msc
- %TEMP%\rarsfx0\ahmv.exe
- %TEMP%\rarsfx0\mlws.docx
- %TEMP%\rarsfx0\jswkkc.exe
- %TEMP%\rarsfx0\pjstkmk.dat
- %TEMP%\rarsfx0\xvbs.jpg
- %TEMP%\rarsfx0\sxkqgrvnbd.msc
- %TEMP%\rarsfx0\qjqksjhxh.exe
- %TEMP%\rarsfx0\lepkki.xl
- %TEMP%\rarsfx0\drqsq.icm
- %TEMP%\rarsfx0\wfqxskdt.mp3
- %TEMP%\rarsfx0\ujcwcbjhi.icm
- %TEMP%\rarsfx0\wneg.docx
- %TEMP%\rarsfx0\rcbnsm.dat
- %TEMP%\rarsfx0\xxpdwi.pdf
- %TEMP%\rarsfx0\wnhgfff.mp3
- %TEMP%\rarsfx0\qxxqbwa.mp3
- %TEMP%\rarsfx0\dli-n.vbe
- %TEMP%\rarsfx0\bpgkl.xl
- %TEMP%\rarsfx0\bvaxnxl.exe
- %TEMP%\rarsfx0\lpxhbuc.jpg
- %TEMP%\rarsfx0\nmbswrk.msc
- %TEMP%\rarsfx0\coltcq.xl
- %TEMP%\rarsfx0\pwfrvoq.bin
- %TEMP%\rarsfx0\ldcm.jpg
- %TEMP%\rarsfx0\jjioq.exe
- %TEMP%\rarsfx0\gsce.dll
- %TEMP%\rarsfx0\wkjopq.mp2
- %TEMP%\rarsfx0\wtgulkivfc.icm
- %TEMP%\rarsfx0\bcnwjxoh.msc
- %TEMP%\rarsfx0\hiroqokb.txt
- %TEMP%\rarsfx0\nnircvsar.txt
- %TEMP%\rarsfx0\wagoonh.bmp
- %TEMP%\rarsfx0\jpmpdsdtud.dat
- %TEMP%\rarsfx0\wcuhkxfla.mp3
- %TEMP%\rarsfx0\arjffrnp.icm
- %TEMP%\rarsfx0\clawieqdxr.icm
- %TEMP%\rarsfx0\kfprmp.bmp
- %TEMP%\rarsfx0\aejowuflif.mp2
- %TEMP%\rarsfx0\fplei.mp3
- %TEMP%\rarsfx0\kartofgaci.icm
- %TEMP%\rarsfx0\jlafnmvx.mp3
- %TEMP%\rarsfx0\jhhxanvnpv.3gp
- %TEMP%\rarsfx0\sqbit.ppt
- %TEMP%\rarsfx0\flhuefd.xls
- %TEMP%\rarsfx0\mmnutxn.dll
- %TEMP%\rarsfx0\vorpphp.xls
- %TEMP%\rarsfx0\cjgb.msc
- %TEMP%\rarsfx0\ugjxenaitd.bmp
- %TEMP%\rarsfx0\hnla.ppt
- %TEMP%\rarsfx0\upmimdm.exe
- %TEMP%\rarsfx0\hlpng.mp3
- %TEMP%\rarsfx0\oxncwgjjcj.xls
- %TEMP%\rarsfx0\eehlxk.pdf
- C:\whsc\xxpdwi.pdf
- %TEMP%\regsvcs.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\rarsfx0\qxxqbwa.mp3
- C:\whsc\ndbslfwedc.jiu
- C:\whsc\nmbswrk.msc
- C:\whsc\nnircvsar.txt
- C:\whsc\oxncwgjjcj.xls
- C:\whsc\pjstkmk.dat
- C:\whsc\pwfrvoq.bin
- C:\whsc\qjqksjhxh.exe
- C:\whsc\qsqjxipbcf.dll
- C:\whsc\qxxqbwa.mp3
- C:\whsc\qxxqbwa.mp3.exe
- C:\whsc\rcbnsm.dat
- C:\whsc\sqbit.ppt
- C:\whsc\mlws.docx
- C:\whsc\mmnutxn.dll
- C:\whsc\sxkqgrvnbd.msc
- C:\whsc\upmimdm.exe
- C:\whsc\vjwtqrmlae.mp2
- C:\whsc\vorpphp.xls
- C:\whsc\vrawc.icm
- C:\whsc\wagoonh.bmp
- C:\whsc\wcuhkxfla.mp3
- C:\whsc\wfqxskdt.mp3
- C:\whsc\wkjopq.mp2
- C:\whsc\wneg.docx
- C:\whsc\wnhgfff.mp3
- C:\whsc\wtgulkivfc.icm
- C:\whsc\xvbs.jpg
- C:\whsc\ugjxenaitd.bmp
- C:\whsc\ujcwcbjhi.icm
- C:\whsc\lvoijiro.icm
- C:\whsc\lpxhbuc.jpg
- C:\whsc\lepkki.xl
- C:\whsc\ahmv.exe
- C:\whsc\arjffrnp.icm
- C:\whsc\aslr.3gp
- C:\whsc\bcnwjxoh.msc
- C:\whsc\bpgkl.xl
- C:\whsc\bvaxnxl.exe
- C:\whsc\cjgb.msc
- C:\whsc\clawieqdxr.icm
- C:\whsc\coltcq.xl
- C:\whsc\dli-n.vbe
- C:\whsc\drpfgfxa.mp3
- C:\whsc\drqsq.icm
- C:\whsc\eehlxk.pdf
- C:\whsc\aejowuflif.mp2
- C:\whsc\flhuefd.xls
- C:\whsc\goou.pdf
- C:\whsc\gsce.dll
- C:\whsc\hiroqokb.txt
- C:\whsc\hlpng.mp3
- C:\whsc\hnla.ppt
- C:\whsc\jhhxanvnpv.3gp
- C:\whsc\jjioq.exe
- C:\whsc\jlafnmvx.mp3
- C:\whsc\jpmpdsdtud.dat
- C:\whsc\jswkkc.exe
- C:\whsc\kartofgaci.icm
- C:\whsc\kfprmp.bmp
- C:\whsc\ldcm.jpg
- C:\whsc\fplei.mp3
- C:\whsc\xvkhkqb.msc
- C:\whsc\xxpdwi.pdf
Удаляет следующие файлы
- %TEMP%\rarsfx0\qxxqbwa.mp3
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\dli-n.vbe"
- '%TEMP%\rarsfx0\qxxqbwa.mp3' bpgkl.xl
- '%TEMP%\regsvcs.exe'
- '%WINDIR%\syswow64\cmd.exe' /c qxxqbwa.mp3 bpgkl.xl' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /renew' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c qxxqbwa.mp3 bpgkl.xl
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /renew
- '%WINDIR%\syswow64\ipconfig.exe' /renew
- '%WINDIR%\syswow64\dvdplay.exe'
