Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Plug Access BranchCache Human' = '%APPDATA%\qaqgciqloomfwp\ybqhdopl.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\qaqgciqloomfwp\qbdxrnmevzdd.exe' "%APPDATA%\qaqgciqloomfwp\ybqhdopl.exe"
- '%APPDATA%\qaqgciqloomfwp\ybqhdopl.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\qaqgciqloomfwp\ybqhdopl.cslnu
- %APPDATA%\qaqgciqloomfwp\qbdxrnmevzdd.exe
- %APPDATA%\qaqgciqloomfwp\ybqhdopl.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\qaqgciqloomfwp\ybqhdopl.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'st####afraid.net':80
- 'tr###dinner.net':80
- 'st####dinner.net':80
- 'tr###circle.net':80
- 'st####circle.net':80
- 'tr###afraid.net':80
- 're####circle.net':80
- 'el####icafraid.net':80
- 're####afraid.net':80
- 'tr####easure.net':80
- 'st####measure.net':80
- 'el####iccircle.net':80
- 'be####measure.net':80
- 'br####easure.net':80
- 'fl####easure.net':80
- 'ga####circle.net':80
- 'fl###afraid.net':80
- 'br###dinner.net':80
- 'fl###dinner.net':80
- 'ga####dinner.net':80
- 'be####dinner.net':80
- 'ga####measure.net':80
- 'be####circle.net':80
- 'ga####afraid.net':80
- 'be####afraid.net':80
- 'de####dinner.net':80
- 'ni###dinner.net':80
- 'de####measure.net':80
- 'ni###circle.net':80
- 'de####afraid.net':80
- 'ni###afraid.net':80
- 'do###afraid.net':80
- 'ag####tafraid.net':80
- 'do###dinner.net':80
- 'ni####easure.net':80
- 'do###circle.net':80
- 'ag####tcircle.net':80
- 'de####circle.net':80
- 're####measure.net':80
- 'ca####ncircle.net':80
- 'la###circle.net':80
- 'el####icdinner.net':80
- 're####dinner.net':80
- 'el####icmeasure.net':80
- 'la###dinner.net':80
- 'ca####nmeasure.net':80
- 'la####easure.net':80
- 'ca####nafraid.net':80
- 'la###afraid.net':80
- 'ca####ndinner.net':80
TCP:
Запросы HTTP GET:
- st####afraid.net/index.php?em##################################################
- tr###dinner.net/index.php?em##################################################
- st####dinner.net/index.php?em##################################################
- tr###circle.net/index.php?em##################################################
- st####circle.net/index.php?em##################################################
- tr###afraid.net/index.php?em##################################################
- re####circle.net/index.php?em##################################################
- el####icafraid.net/index.php?em##################################################
- re####afraid.net/index.php?em##################################################
- tr####easure.net/index.php?em##################################################
- st####measure.net/index.php?em##################################################
- el####iccircle.net/index.php?em##################################################
- be####measure.net/index.php?em##################################################
- br####easure.net/index.php?em##################################################
- fl####easure.net/index.php?em##################################################
- ga####circle.net/index.php?em##################################################
- fl###afraid.net/index.php?em##################################################
- br###dinner.net/index.php?em##################################################
- fl###dinner.net/index.php?em##################################################
- ga####dinner.net/index.php?em##################################################
- be####dinner.net/index.php?em##################################################
- ga####measure.net/index.php?em##################################################
- be####circle.net/index.php?em##################################################
- ga####afraid.net/index.php?em##################################################
- be####afraid.net/index.php?em##################################################
- de####dinner.net/index.php?em##################################################
- ni###dinner.net/index.php?em##################################################
- de####measure.net/index.php?em##################################################
- ni###circle.net/index.php?em##################################################
- de####afraid.net/index.php?em##################################################
- ni###afraid.net/index.php?em##################################################
- do###afraid.net/index.php?em##################################################
- ag####tafraid.net/index.php?em##################################################
- do###dinner.net/index.php?em##################################################
- ni####easure.net/index.php?em##################################################
- do###circle.net/index.php?em##################################################
- ag####tcircle.net/index.php?em##################################################
- de####circle.net/index.php?em##################################################
- re####measure.net/index.php?em##################################################
- ca####ncircle.net/index.php?em##################################################
- la###circle.net/index.php?em##################################################
- el####icdinner.net/index.php?em##################################################
- re####dinner.net/index.php?em##################################################
- el####icmeasure.net/index.php?em##################################################
- la###dinner.net/index.php?em##################################################
- ca####nmeasure.net/index.php?em##################################################
- la####easure.net/index.php?em##################################################
- ca####nafraid.net/index.php?em##################################################
- la###afraid.net/index.php?em##################################################
- ca####ndinner.net/index.php?em##################################################
UDP:
- DNS ASK tr###afraid.net
- DNS ASK st####afraid.net
- DNS ASK tr###dinner.net
- DNS ASK be####measure.net
- DNS ASK tr###circle.net
- DNS ASK st####circle.net
- DNS ASK el####iccircle.net
- DNS ASK re####circle.net
- DNS ASK el####icafraid.net
- DNS ASK st####dinner.net
- DNS ASK tr####easure.net
- DNS ASK st####measure.net
- DNS ASK ga####measure.net
- DNS ASK fl###dinner.net
- DNS ASK br####easure.net
- DNS ASK fl####easure.net
- DNS ASK br###afraid.net
- DNS ASK fl###afraid.net
- DNS ASK br###dinner.net
- DNS ASK be####afraid.net
- DNS ASK ga####dinner.net
- DNS ASK be####dinner.net
- DNS ASK ga####circle.net
- DNS ASK be####circle.net
- DNS ASK ga####afraid.net
- DNS ASK re####afraid.net
- DNS ASK de####dinner.net
- DNS ASK ni###dinner.net
- DNS ASK de####measure.net
- DNS ASK ni###circle.net
- DNS ASK de####afraid.net
- DNS ASK ni###afraid.net
- DNS ASK do###afraid.net
- DNS ASK ag####tafraid.net
- DNS ASK do###dinner.net
- DNS ASK ni####easure.net
- DNS ASK do###circle.net
- DNS ASK ag####tcircle.net
- DNS ASK de####circle.net
- DNS ASK re####measure.net
- DNS ASK ca####ncircle.net
- DNS ASK la###circle.net
- DNS ASK el####icdinner.net
- DNS ASK re####dinner.net
- DNS ASK el####icmeasure.net
- DNS ASK la###dinner.net
- DNS ASK ca####nmeasure.net
- DNS ASK la####easure.net
- DNS ASK ca####nafraid.net
- DNS ASK la###afraid.net
- DNS ASK ca####ndinner.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
