Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\intelaudiomanager
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %HOMEPATH%\desktop\3.jpg
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\adadsi.html
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\parnas_01.jpg
- %HOMEPATH%\desktop\pushkin.jpg
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\tree_view.html
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\qqfrwoj\svchost.exe
Сетевая активность
Подключается к
- 'localhost':49695
- 'ip##pi.com':80
- 'localhost':49698
- 'localhost':49701
- 'ra#.####ubusercontent.com':443
- 'x1.#.lencr.org':80
- 'r1#.#.lencr.org':80
- 'localhost':49708
TCP
Запросы HTTP GET
- http://r1#.#.lencr.org/78.crl
Другие
- 'localhost':49695
- 'localhost':49696
- 'localhost':49698
- 'localhost':49699
- 'localhost':49701
- 'localhost':49702
- 'ra#.####ubusercontent.com':443
- 'localhost':49708
- 'localhost':49709
UDP
- DNS ASK ip##pi.com
- DNS ASK ra#.####ubusercontent.com
- DNS ASK x1.#.lencr.org
- DNS ASK r1#.#.lencr.org
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\qqfrwoj\svchost.exe'
