Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'UserMode Task Redirector Key Network Adapter' = '%APPDATA%\lzqxquotmgt\zqauarlbasl.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\lzqxquotmgt\ypdvixxm.exe' "%APPDATA%\lzqxquotmgt\zqauarlbasl.exe"
- '%APPDATA%\lzqxquotmgt\zqauarlbasl.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\lzqxquotmgt\zqauarlbasl.zr
- %APPDATA%\lzqxquotmgt\ypdvixxm.exe
- %APPDATA%\lzqxquotmgt\zqauarlbasl.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\lzqxquotmgt\zqauarlbasl.exe
Сетевая активность:
Подключается к:
- 'el####icborrow.net':80
- 're####borrow.net':80
- 're###dtrain.net':80
- 're#####lectricity.net':80
- 'el####ictrain.net':80
- 'ca####ndelight.net':80
- 'ca####ntrain.net':80
- 'la###train.net':80
- 'la#####ectricity.net':80
- 'la####elight.net':80
- 'ca#####electricity.net':80
- 'st#####lectricity.net':80
- 'tr###train.net':80
- 'tr#####ectricity.net':80
- 'tr####elight.net':80
- 'st####delight.net':80
- 'st###ttrain.net':80
- 're####delight.net':80
- 'el#####celectricity.net':80
- 'el####icdelight.net':80
- 'tr###borrow.net':80
- 'st####borrow.net':80
- 'ca####nborrow.net':80
- 'ag####ttrain.net':80
- 'do###borrow.net':80
- 'do###train.net':80
- 'do#####ectricity.net':80
- 'ag#####electricity.net':80
- 'ag####tborrow.net':80
- 'qu###twenty.net':80
- 'se####meeting.net':80
- 'se####twenty.net':80
- 'se#####nderstood.net':80
- 'qu####nderstood.net':80
- 'de#####lectricity.net':80
- 'ni#####ectricity.net':80
- 'ni####elight.net':80
- 'la###borrow.net':80
- 'de####delight.net':80
- 'de###etrain.net':80
- 'do####elight.net':80
- 'ag####tdelight.net':80
- 'ni###borrow.net':80
- 'ni###train.net':80
- 'de####borrow.net':80
TCP:
Запросы HTTP GET:
- el####icborrow.net/index.php?em#########################################
- re####borrow.net/index.php?em#########################################
- re###dtrain.net/index.php?em#########################################
- re#####lectricity.net/index.php?em#########################################
- el####ictrain.net/index.php?em#########################################
- ca####ndelight.net/index.php?em#########################################
- ca####ntrain.net/index.php?em#########################################
- la###train.net/index.php?em#########################################
- la#####ectricity.net/index.php?em#########################################
- la####elight.net/index.php?em#########################################
- ca#####electricity.net/index.php?em#########################################
- st#####lectricity.net/index.php?em#########################################
- tr###train.net/index.php?em#########################################
- tr#####ectricity.net/index.php?em#########################################
- tr####elight.net/index.php?em#########################################
- st####delight.net/index.php?em#########################################
- st###ttrain.net/index.php?em#########################################
- re####delight.net/index.php?em#########################################
- el#####celectricity.net/index.php?em#########################################
- el####icdelight.net/index.php?em#########################################
- tr###borrow.net/index.php?em#########################################
- st####borrow.net/index.php?em#########################################
- ca####nborrow.net/index.php?em#########################################
- ag####ttrain.net/index.php?em#########################################
- do###borrow.net/index.php?em#########################################
- do###train.net/index.php?em#########################################
- do#####ectricity.net/index.php?em#########################################
- ag#####electricity.net/index.php?em#########################################
- ag####tborrow.net/index.php?em#########################################
- qu###twenty.net/index.php?em#########################################
- se####meeting.net/index.php?em#########################################
- se####twenty.net/index.php?em#########################################
- se#####nderstood.net/index.php?em#########################################
- qu####nderstood.net/index.php?em#########################################
- de#####lectricity.net/index.php?em#########################################
- ni#####ectricity.net/index.php?em#########################################
- ni####elight.net/index.php?em#########################################
- la###borrow.net/index.php?em#########################################
- de####delight.net/index.php?em#########################################
- de###etrain.net/index.php?em#########################################
- do####elight.net/index.php?em#########################################
- ag####tdelight.net/index.php?em#########################################
- ni###borrow.net/index.php?em#########################################
- ni###train.net/index.php?em#########################################
- de####borrow.net/index.php?em#########################################
UDP:
- DNS ASK el####icborrow.net
- DNS ASK re####borrow.net
- DNS ASK re###dtrain.net
- DNS ASK re#####lectricity.net
- DNS ASK el####ictrain.net
- DNS ASK ca####ndelight.net
- DNS ASK ca####ntrain.net
- DNS ASK la###train.net
- DNS ASK la#####ectricity.net
- DNS ASK la####elight.net
- DNS ASK ca#####electricity.net
- DNS ASK el#####celectricity.net
- DNS ASK tr#####ectricity.net
- DNS ASK st#####lectricity.net
- DNS ASK st####delight.net
- DNS ASK be####borrow.net
- DNS ASK tr####elight.net
- DNS ASK tr###train.net
- DNS ASK el####icdelight.net
- DNS ASK re####delight.net
- DNS ASK st####borrow.net
- DNS ASK st###ttrain.net
- DNS ASK tr###borrow.net
- DNS ASK ag####ttrain.net
- DNS ASK do###borrow.net
- DNS ASK do###train.net
- DNS ASK do#####ectricity.net
- DNS ASK ag#####electricity.net
- DNS ASK ag####tborrow.net
- DNS ASK qu###twenty.net
- DNS ASK se####meeting.net
- DNS ASK se####twenty.net
- DNS ASK se#####nderstood.net
- DNS ASK qu####nderstood.net
- DNS ASK ag####tdelight.net
- DNS ASK ni####elight.net
- DNS ASK de#####lectricity.net
- DNS ASK de####delight.net
- DNS ASK ca####nborrow.net
- DNS ASK la###borrow.net
- DNS ASK ni#####ectricity.net
- DNS ASK ni###borrow.net
- DNS ASK do####elight.net
- DNS ASK de####borrow.net
- DNS ASK de###etrain.net
- DNS ASK ni###train.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
