Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'HBlock' = '<Полный путь к файлу>'
Вредоносные функции
Патчит код
в динамической библиотеке
- Процесс qmrxksi.exe, модуль MSHTML.dll
Сетевая активность
UDP
- DNS ASK im#####epository.com
- DNS ASK pr#####ion-manager.com
- DNS ASK im###s-base.com
- DNS ASK ph###pining.com
- DNS ASK ch###tron.com
- DNS ASK pr#####-management.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Перезапускает анализируемый образец
Запускает на исполнение
- '<Полный путь к файлу>' (со скрытым окном)
