Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\5_58\lkvdecp.exe %TEMP%\5_58\qusdmqd.dll'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\5_58\kxmdrgpe.xfn
- %TEMP%\5_58\dimkenne.bin
- %TEMP%\5_58\sempmj.pdf
- %TEMP%\5_58\numvqpghw.jpg
- %TEMP%\5_58\gmmq.dll
- %TEMP%\5_58\jhechtpgr.icm
- %TEMP%\5_58\kohvgj.xl
- %TEMP%\5_58\ounadcue.dat
- %TEMP%\5_58\utfqmi.msc
- %TEMP%\5_58\idgt.xls
- %TEMP%\5_58\brest.msc
- %TEMP%\5_58\sqmtsfg.txt
- %TEMP%\5_58\rssweq.ini
- %TEMP%\5_58\dgeiowpheo.bin
- %TEMP%\5_58\wnxgrtj.msc
- %TEMP%\5_58\rqpfhkob.jpg
- %TEMP%\5_58\xrojrm.jpg
- %TEMP%\5_58\ubsmiwpi.bmp
- %TEMP%\5_58\oacb.docx
- %TEMP%\5_58\dtkwi.dat
- %TEMP%\5_58\lkvdecp.exe
- %TEMP%\5_58\rboktbei.dat.vbe
- %TEMP%\5_58\qusdmqd.dll
- %TEMP%\5_58\sgevsc.jpg
- %TEMP%\5_58\wujdu.xml
- %HOMEPATH%\temp\sgevsc.jpg
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\5_58\lkvdecp.exe
Сетевая активность
Подключается к
- 'po#####2.duckdns.org':4433
UDP
- DNS ASK po#####2.duckdns.org
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\5_58\rboktbei.dat.vbe"
- '%TEMP%\5_58\lkvdecp.exe' qusdmqd.dll
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
