Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WinHost32' = '<SYSTEM32>\WinHost32.exe'
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%TEMP%\qi613.exe'
Запускает на исполнение (эксплоит)
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1984
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\winhost32.exe
следующие пользовательские процессы:
- qi613.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\qi613.exe
- %TEMP%\984881.cvr
- %WINDIR%\syswow64\winhost32.exe
Удаляет следующие файлы
- %TEMP%\qi613.exe
Сетевая активность
Подключается к
- 'ap#.#pify.org':80
TCP
Запросы HTTP GET
- http://ap#.#pify.org/
UDP
- DNS ASK ap#.#pify.org
- DNS ASK mi####worthboth.com
- DNS ASK fi####urherow.ru
- DNS ASK dr###ourmind.ru
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\winhost32.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' del %TEMP%\qi613.exe >> NUL
