Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'qezmupuocoqe' = '%HOMEPATH%\qezmupuocoqe.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\stermedia[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ppic[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\k-kogaku[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\abdg[1].htm
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\823a3a89-95dc-4917-8c74-1165b8ff3453
- %HOMEPATH%\qezmupuocoqe.exe
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\qezmupuocoqe.exe
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\abdg[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\k-kogaku[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ppic[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\stermedia[1].htm
Сетевая активность:
Подключается к:
- 'ab##.com':80
- 'k-###aku.com':80
- 'pp##.com':80
- 'st###edia.pl':80
TCP:
Запросы HTTP POST:
- ab##.com/
- k-###aku.com/
- pp##.com/
- st###edia.pl/
UDP:
- DNS ASK so###est.com
- DNS ASK mu##c.us
- DNS ASK x9#.com
- DNS ASK bu##ebt.net
- DNS ASK at##m.ru
- DNS ASK aq##ea.com
- DNS ASK de###ins.org
- DNS ASK ac###ich.org
- DNS ASK 4j##.com
- DNS ASK mi##a.pt
- DNS ASK id##om.it
- DNS ASK ba##jya.com
- DNS ASK me###tes.com
- DNS ASK he##nc.com
- DNS ASK mu##ip.hu
- DNS ASK ha###ume.com
- DNS ASK di##e.com
- DNS ASK mo##eux.fr
- DNS ASK ti##top.cz
- DNS ASK om###als.com
- DNS ASK kt##tam.com
- DNS ASK ai##co.com
- DNS ASK rd##f.org
- DNS ASK ro###fer.com
- DNS ASK ch##o.ru
- DNS ASK fa###a.co.za
- DNS ASK vi##el.net
- DNS ASK on##odo.net
- DNS ASK ho##e.ch
- DNS ASK ma##om.pl
- DNS ASK jo###bia.com
- DNS ASK ii##d.org
- DNS ASK ra##ton.cz
- DNS ASK er##z.org
- DNS ASK ag##an.net
- DNS ASK lm##.org.au
- DNS ASK jo##me.net
- DNS ASK ec##.com.au
- DNS ASK xl#.org.uk
- DNS ASK no##ko7.com
- DNS ASK in###disc.de
- DNS ASK ab##.com
- DNS ASK k-###aku.com
- DNS ASK pp##.com
- DNS ASK st###edia.pl
- DNS ASK ks##.com
- DNS ASK he###ter.com
- DNS ASK so###n.co.jp
- DNS ASK uv###ndia.in
- DNS ASK hb##ail.com
- DNS ASK et##age.com
- DNS ASK nw###ice.org
- DNS ASK pm##.org
- DNS ASK pl##.net
- DNS ASK zy##on.com
- DNS ASK go###rop.com
- DNS ASK st##c.co.uk
- DNS ASK my##lf1.com
- DNS ASK dj##p.com
- DNS ASK ta##ra.net
- DNS ASK la##ron.com
- DNS ASK ac###abs.com
- DNS ASK pl##i.net
- DNS ASK er##gal.com
- DNS ASK k-##sin.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
