Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,53,79,73,57,4f,57,36,34,5c,7...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,53,79,73,57,4f,57,36,34,5c,7...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,53,79,73,57,4f,57,36,34,5c,7...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,53,79,73,57,4f,57,36,34,5c,7...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,53,79,73,57,4f,57,36,34,5c,7...
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'IMGYIG' = '<SYSTEM32>\igfxtax.exe'
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'IMCYIG' = '<SYSTEM32>\imjmipg.exe'
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'wmspdmv' = '<SYSTEM32>\wmspdmv.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,3...
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\igfxtax.exe' = '<SYSTEM32>\igfxtax.exe:*:Enabled:igfxtax'
- [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\wmspdmv.exe' = '<SYSTEM32>\wmspdmv.exe:*:Enabled:wmspdmv'
- [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\wsqnty.exe' = '<SYSTEM32>\wsqnty.exe:*:Enabled:wsqnty'
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\glc684f.tmp
- %TEMP%\glg6ad2.tmp
- %TEMP%\~glh0000.tmp
- %TEMP%\~glh0001.tmp
- %TEMP%\~glh0002.tmp
- %TEMP%\glc7168.tmp
- %TEMP%\glj7188.tmp
- %TEMP%\glk738c.tmp
- %WINDIR%\syswow64\~glh0002.tmp
- %WINDIR%\syswow64\~glh0003.tmp
- %WINDIR%\syswow64\~glh0004.tmp
- %WINDIR%\syswow64\~glh0005.tmp
- %WINDIR%\syswow64\~glh0006.tmp
- %WINDIR%\syswow64\~glh0007.tmp
- %WINDIR%\syswow64\~glh0008.tmp
- %WINDIR%\syswow64\~glh0009.tmp
- %WINDIR%\syswow64\~glh000a.tmp
- %WINDIR%\syswow64\~glh000b.tmp
- %WINDIR%\syswow64\~glh000d.tmp
- %WINDIR%\syswow64\~glh000e.tmp
- %WINDIR%\syswow64\~glh000f.tmp
- %WINDIR%\syswow64\~glh0010.tmp
- %WINDIR%\syswow64\~glh0011.tmp
- %WINDIR%\syswow64\~glh0012.tmp
- %WINDIR%\syswow64\~glh0013.tmp
- %WINDIR%\syswow64\~glh0014.tmp
- %WINDIR%\syswow64\~glh0015.tmp
- %WINDIR%\syswow64\~glh0019.tmp
- %WINDIR%\syswow64\temp.000
- %WINDIR%\syswow64\~glh001b.tmp
- %WINDIR%\syswow64\~glh001c.tmp
- %WINDIR%\syswow64\~glh001e.tmp
- %WINDIR%\syswow64\~glh0020.tmp
- %WINDIR%\syswow64\~glh0021.tmp
- %WINDIR%\syswow64\~glh0022.tmp
- %WINDIR%\syswow64\~glh0025.tmp
- %WINDIR%\syswow64\~glh0027.tmp
- %WINDIR%\syswow64\~glh0029.tmp
- %WINDIR%\syswow64\~glh002a.tmp
- %WINDIR%\syswow64\~glh002c.tmp
- %WINDIR%\syswow64\~glh002e.tmp
- %WINDIR%\syswow64\~glh0030.tmp
- %WINDIR%\syswow64\~glh0031.tmp
- %WINDIR%\syswow64\~glh0032.tmp
- %WINDIR%\syswow64\~glh0033.tmp
- %WINDIR%\syswow64\~glh0034.tmp
- %WINDIR%\syswow64\~glh0035.tmp
- %WINDIR%\syswow64\~glh0036.tmp
- %WINDIR%\syswow64\~glh0037.tmp
- %WINDIR%\syswow64\~glh0038.tmp
- %WINDIR%\syswow64\~glh0039.tmp
- %WINDIR%\syswow64\~glh003a.tmp
- %WINDIR%\syswow64\~glh003b.tmp
- %WINDIR%\syswow64\~glh003c.tmp
- %WINDIR%\syswow64\~glh003e.tmp
- %WINDIR%\syswow64\~glh0041.tmp
- %WINDIR%\syswow64\~glh0044.tmp
- %WINDIR%\syswow64\~glh0045.tmp
- %WINDIR%\syswow64\gcdb.dsn
- %WINDIR%\syswow64\~glh0047.tmp
- %WINDIR%\syswow64\~glh0048.tmp
- %WINDIR%\syswow64\comnctt.xdc
- %WINDIR%\syswow64\expiorer.xdc
- %TEMP%\ussetup.exe
- %WINDIR%\syswow64\msdtclod.xdc
- %LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
- %WINDIR%\syswow64\repbfdr.dxt
- %WINDIR%\syswow64\wuauclcr.xdc
- %WINDIR%\syswow64\jcinuh.xdc
- %WINDIR%\syswow64\mstsbkf.dat
- %WINDIR%\syswow64\mstsbkf.dbt
- %WINDIR%\syswow64\msintet.xdc
- %WINDIR%\syswow64\gcdb_file.dsn
- %WINDIR%\syswow64\dxtrad.bat
- %WINDIR%\syswow64\msvbvm5.dat
- %WINDIR%\syswow64\msvbvm5.ldb
- %WINDIR%\syswow64\atraxce.dat
- %WINDIR%\syswow64\atraxce.ldb
- %WINDIR%\syswow64\expand.dat
- %WINDIR%\syswow64\expand.ldb
- %WINDIR%\inf\display.pnf
Перемещает следующие файлы
- %TEMP%\~glh0000.tmp в %TEMP%\expiorer.xdc
- %TEMP%\~glh0001.tmp в %TEMP%\comnctt.xdc
- %TEMP%\~glh0002.tmp в %TEMP%\ussetup.exe
- %TEMP%\~glh0000.tmp в %TEMP%\glf77b5.tmp
- %TEMP%\~glh0001.tmp в %TEMP%\glf77b6.tmp
- %WINDIR%\syswow64\~glh0002.tmp в %WINDIR%\syswow64\wsqnty.exe
- %WINDIR%\syswow64\~glh0003.tmp в %WINDIR%\syswow64\ierjgxfxn.dll
- %WINDIR%\syswow64\~glh0004.tmp в %WINDIR%\syswow64\getwordnt.dll
- %WINDIR%\syswow64\~glh0005.tmp в %WINDIR%\syswow64\getword.dll
- %WINDIR%\syswow64\~glh0006.tmp в %WINDIR%\syswow64\license.dat
- %WINDIR%\syswow64\~glh0007.tmp в %WINDIR%\syswow64\icall.dll
- %WINDIR%\syswow64\~glh0008.tmp в %WINDIR%\syswow64\xvidcore.dll
- %WINDIR%\syswow64\~glh0009.tmp в %WINDIR%\syswow64\licdxwmi.dll
- %WINDIR%\syswow64\~glh000a.tmp в %WINDIR%\syswow64\mspmvdsv.exe
- %WINDIR%\syswow64\~glh000b.tmp в %WINDIR%\syswow64\ierjtutfxl.dll
- %WINDIR%\syswow64\~glh000d.tmp в %WINDIR%\syswow64\ieapfxlyt.dll
- %WINDIR%\syswow64\~glh000e.tmp в %WINDIR%\syswow64\wmspdmv.exe
- %WINDIR%\syswow64\~glh000f.tmp в %WINDIR%\syswow64\ocftache.dll
- %WINDIR%\syswow64\~glh0010.tmp в %WINDIR%\syswow64\atkctfxs.dll
- %WINDIR%\syswow64\~glh0011.tmp в %WINDIR%\syswow64\asctrlxcs.dll
- %WINDIR%\syswow64\~glh0012.tmp в %WINDIR%\syswow64\compactqd.dll
- %WINDIR%\syswow64\~glh0013.tmp в %WINDIR%\syswow64\gcdb_file.dsn
- %WINDIR%\syswow64\~glh0014.tmp в %WINDIR%\syswow64\imjmipg.exe
- %WINDIR%\syswow64\~glh0015.tmp в %WINDIR%\syswow64\atraxce.dat
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh001a.tmp
- %WINDIR%\syswow64\~glh001a.tmp в %WINDIR%\syswow64\w95inf32.dll
- %WINDIR%\syswow64\~glh001b.tmp в %WINDIR%\syswow64\msdgird.ocx
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\w95inf16.dll
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh001f.tmp
- %WINDIR%\syswow64\~glh001f.tmp в %WINDIR%\syswow64\richtx32.ocx
- %WINDIR%\syswow64\~glh0020.tmp в %WINDIR%\syswow64\cfgmgrzp.dll
- %WINDIR%\syswow64\~glh0021.tmp в %WINDIR%\syswow64\gcdb.dsn
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh0023.tmp
- %WINDIR%\syswow64\~glh0023.tmp в %WINDIR%\syswow64\vbar332.dll
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh0026.tmp
- %WINDIR%\syswow64\~glh0026.tmp в %WINDIR%\syswow64\msstdfmt.dll
- %WINDIR%\syswow64\~glh0027.tmp в %WINDIR%\syswow64\msdev4.dll
- %WINDIR%\syswow64\~glh0029.tmp в %WINDIR%\syswow64\scardsv.exe
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh002b.tmp
- %WINDIR%\syswow64\~glh002b.tmp в %WINDIR%\syswow64\msbind.dll
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh002d.tmp
- %WINDIR%\syswow64\~glh002d.tmp в %WINDIR%\syswow64\dbgrid32.ocx
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh002f.tmp
- %WINDIR%\syswow64\~glh002f.tmp в %WINDIR%\syswow64\comdlg32.ocx
- %WINDIR%\syswow64\~glh0030.tmp в %WINDIR%\syswow64\msconfl.dll
- %WINDIR%\syswow64\~glh0031.tmp в %WINDIR%\syswow64\xcdzpocx.lic
- %WINDIR%\syswow64\~glh0032.tmp в %WINDIR%\syswow64\xceedzip.ocx
- %WINDIR%\syswow64\~glh0033.tmp в %WINDIR%\syswow64\winhlp.dll
- %WINDIR%\syswow64\~glh0034.tmp в %WINDIR%\syswow64\dskpart.exe
- %WINDIR%\syswow64\~glh0035.tmp в %WINDIR%\syswow64\msvbvm5.dat
- %WINDIR%\syswow64\~glh0036.tmp в %WINDIR%\syswow64\winsocks.dsn
- %WINDIR%\syswow64\~glh0037.tmp в %WINDIR%\syswow64\getscreenjpg.dll
- %WINDIR%\syswow64\~glh0038.tmp в %WINDIR%\syswow64\xvidcoer.dll
- %WINDIR%\syswow64\~glh0039.tmp в %WINDIR%\syswow64\expiorer.xdc
- %WINDIR%\syswow64\~glh003a.tmp в %WINDIR%\syswow64\temp.dat
- %WINDIR%\syswow64\~glh003b.tmp в %WINDIR%\syswow64\comnctt.xdc
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh003d.tmp
- %WINDIR%\syswow64\~glh003d.tmp в %WINDIR%\syswow64\msado26.tlb
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh003f.tmp
- %WINDIR%\syswow64\~glh003f.tmp в %WINDIR%\syswow64\winskchs.dll
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh0042.tmp
- %WINDIR%\syswow64\~glh0042.tmp в %WINDIR%\syswow64\mswinsck.ocx
- %WINDIR%\syswow64\~glh0044.tmp в %WINDIR%\syswow64\igfxtax.exe
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh0046.tmp
- %WINDIR%\syswow64\~glh0046.tmp в %WINDIR%\syswow64\scrrnchs.dll
- %WINDIR%\syswow64\~glh0047.tmp в %WINDIR%\syswow64\expiorer.xdc
- %WINDIR%\syswow64\~glh0048.tmp в %WINDIR%\syswow64\comnctt.xdc
Подменяет следующие файлы
- %TEMP%\~glh0000.tmp
- %TEMP%\~glh0001.tmp
- %WINDIR%\syswow64\temp.000
Сетевая активность
Подключается к
- 'localhost':8154
- 'localhost':8151
- 'localhost':18602
Другое
Создает и запускает на исполнение
- '%TEMP%\ussetup.exe'
- '%WINDIR%\syswow64\dskpart.exe' -remove
- '%WINDIR%\syswow64\dskpart.exe' -install
- '%TEMP%\glj7188.tmp' <SYSTEM32>\mfc42.dll
- '%TEMP%\glj7188.tmp' <SYSTEM32>\MSDGIRD.OCX
- '%TEMP%\glj7188.tmp' <SYSTEM32>\olepro32.dll
- '%TEMP%\glj7188.tmp' <SYSTEM32>\Richtx32.ocx
- '%TEMP%\glj7188.tmp' <SYSTEM32>\MSCOMCTL.OCX
- '%TEMP%\glj7188.tmp' <SYSTEM32>\Dbgrid32.ocx
- '%TEMP%\glj7188.tmp' <SYSTEM32>\comdlg32.ocx
- '%TEMP%\glj7188.tmp' <SYSTEM32>\msconfl.dll
- '%TEMP%\glj7188.tmp' <SYSTEM32>\XCEEDZIP.OCX
- '%TEMP%\glj7188.tmp' <SYSTEM32>\MSWinSck.ocx
- '%TEMP%\glj7188.tmp' <SYSTEM32>\scrrun.dll
- '%WINDIR%\syswow64\igfxtax.exe' /ugc
- '%WINDIR%\syswow64\igfxtax.exe'
- '%WINDIR%\syswow64\wmspdmv.exe'
- '%WINDIR%\syswow64\imjmipg.exe'
- '%WINDIR%\syswow64\scardsv.exe'
- '%WINDIR%\syswow64\wsqnty.exe'
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%WINDIR%\syswow64\wmspdmv.exe"
- '%WINDIR%\syswow64\ipconfig.exe' /all (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%WINDIR%\SysWOW64\dxtrad.bat" " (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%WINDIR%\syswow64\igfxtax.exe"
- '%WINDIR%\syswow64\scardsv.exe' (со скрытым окном)
- '%WINDIR%\syswow64\dskpart.exe' -remove (со скрытым окном)
- '%WINDIR%\syswow64\dskpart.exe' -install (со скрытым окном)
- '%WINDIR%\syswow64\wsqnty.exe' (со скрытым окном)
