Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Aeuriccso.exe'
- '<Текущая директория>\Config\AutoUpdate.exe' \p "C:\qqnmtf.exe" \s "http://to####.qqceo.net/tfupdateinfo.txt" \v "2.0.57.1018"
- 'C:\BRC_Setup.exe'
- 'C:\qqnmtf.exe'
- '<Текущая директория>\Config\AutoUpdate.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c "c:\BRC_Setup.exe_And xMe.bat"
Изменения в файловой системе:
Создает следующие файлы:
- C:\BRC_Setup.exe_And xMe.bat
- %TEMP%\36524.tmp
- <Текущая директория>\Config\AutoUpdate.exe
- %PROGRAM_FILES%\Aeuriccso.dll
- %TEMP%\BClib\Exmlrpc.fne
- %TEMP%\BClib\krnln.fne
- %TEMP%\BClib\krnln.fnr
- %TEMP%\BClib\dp1.fne
- %TEMP%\E_4\krnln.fnr
- %TEMP%\E_4\Exmlrpc.fne
- C:\BRC_Setup.exe
- C:\qqnmtf.exe
- <Текущая директория>\Config\main.xml
- <Текущая директория>\偷匪常见问题与声明.txt
- %TEMP%\E_4\dp1.fne
- %PROGRAM_FILES%\Aeuriccso.exe
Удаляет следующие файлы:
- C:\BRC_Setup.exe
Перемещает следующие файлы:
- %TEMP%\36524.tmp в %TEMP%\36524.tmp2
Сетевая активность:
Подключается к:
- 'xx####506.3322.org':19820
- 'to####.qqceo.net':80
TCP:
Запросы HTTP GET:
- to####.qqceo.net/AutoUpdate.exe
UDP:
- DNS ASK xx####506.3322.org
- DNS ASK to####.qqceo.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
