Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'qnuwyfhh' = '"%APPDATA%\Roaming\Microsoft\Shqukb\shqukb.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Roaming\Microsoft\Shqukb\shqukb.exe'
Запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\iexplore.exe' http://www.microsoft.com
- '<SYSTEM32>\PING.EXE' -n 10 localhost
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2500' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2500' = '00000003'
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\EC38FH3P
- %TEMP%\~DFE221B9474D9BC89F.TMP
- %APPDATA%\Roaming\Microsoft\Shqukb\shqukb32.dll
- <LS_APPDATA>\Microsoft\Internet Explorer\imagestore\g1bfg6d\imagestore.dat
- %APPDATA%\Roaming\Microsoft\Shqukb\cshqukb32.dll
- <LS_APPDATA>\Microsoft\Internet Explorer\Recovery\Active\{2B88F836-342C-11E4-853A-B71336B3F5F2}.dat
- %APPDATA%\Roaming\Microsoft\Shqukb\shquk.dll
- %APPDATA%\Roaming\Microsoft\Shqukb\shqukb.exe
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\fzv9i9tr.default\user.js
- %TEMP%\~DF46B752574EE53359.TMP
- <LS_APPDATA>\Microsoft\Internet Explorer\Recovery\Active\RecoveryStore.{2B88F834-342C-11E4-853A-B71336B3F5F2}.dat
Удаляет следующие файлы:
- %APPDATA%\Roaming\Microsoft\Shqukb\shqukb32.dll
Самоудаляется.
Сетевая активность:
Подключается к:
- '85.##4.135.19':8080
- 'vi######sset.edgesuite.net':80
- '20#.#6.232.182':443
- '65.##4.250.107':21
- 'fo###ity.com':80
- '20#.#6.232.182':80
- '74.##5.232.51':80
- 'www.ip###ress.com':80
- '15#.#66.255.19':80
TCP:
Запросы HTTP GET:
- www.ip###ress.com/
- fo###ity.com/show-ip.php
- vi######sset.edgesuite.net/Repository/CampaignCreative/Campaign_16474/INSTREAMAD/KRWT0565H_Chili_Pot_Non-New.flv?a=#####
- 74.##5.232.51/
- 20#.#6.232.182/
- 15#.#66.255.19/
UDP:
- DNS ASK ur#.##crosoft.com
- DNS ASK vi######sset.edgesuite.net
- DNS ASK fo###ity.com
- DNS ASK ie#####e.microsoft.com
- DNS ASK ie#####t.microsoft.com
- DNS ASK dn#.##ftncsi.com
- DNS ASK google.com
- DNS ASK www.microsoft.com
- DNS ASK go.###rosoft.com
- DNS ASK www.ip###ress.com
- DNS ASK cn#.com
- DNS ASK microsoft.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'shqukb' WindowName: 'shqukb'
- ClassName: 'OleMainThreadWndClass' WindowName: ''
