Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'AutoInsQyule' = '%PROGRAM_FILES%\Qyule\QyuleInstall.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AutoInsQyule' = '%PROGRAM_FILES%\Qyule\QyuleInstall.exe'
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\DM_Install_Program.job
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\101208.exe' = '%TEMP%\101208.exe:*:Enabled:DM'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\pcast\PodcastbarMini\update.exe' = '%PROGRAM_FILES%\pcast\PodcastbarMini\update.exe:*:Enabled:Share Streaming'
Создает и запускает на исполнение:
- %TEMP%\101208.exe
- %TEMP%\RarSFX0\101208.exe
- %TEMP%\RarSFX0\102054.exe
- C:\dwnSetup\sefInstall034.exe
- %TEMP%\RarSFX0\31.exe
- %TEMP%\Skymmstp034.exe
- %TEMP%\RarSFX0\Setup_w0024.exe
- %PROGRAM_FILES%\pcast\PodcastbarMini\update.exe
- %TEMP%\RarSFX0\boba_super_update-1.0.0.1_Ete_021.exe
- %PROGRAM_FILES%\Qyule\UPDATE\qyl.exe /verysilent
- %PROGRAM_FILES%\pcast\PodcastbarMini\cache\setups.exe
- %PROGRAM_FILES%\Qyule\UPDATE\qyl.exe (загружен из сети Интернет)
- C:\dwnSetup\sefInstall034.exe (загружен из сети Интернет)
- %PROGRAM_FILES%\pcast\PodcastbarMini\cache\setups.exe (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\101208.exe
- %TEMP%\Skymmstp034.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\qyl[1].exe
- %PROGRAM_FILES%\Qyule\UPDATE\qyl.exe
- C:\dwnSetup\sefInstall034.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\31[1].htm
- %WINDIR%\Temp\mssoak.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\sefInstall034[1].txt
- %PROGRAM_FILES%\pcast\PodcastbarMini\cache\setups.exe
- %TEMP%\RarSFX0\101208.exe
- %TEMP%\RarSFX0\102054.exe
- %TEMP%\RarSFX0\Setup_w0024.exe
- %TEMP%\RarSFX0\31.exe
- %TEMP%\RarSFX0\boba_super_update-1.0.0.1_Ete_021.exe
- %PROGRAM_FILES%\pcast\PodcastbarMini\download.ini
- %PROGRAM_FILES%\Qyule\QyuleInstall.exe
- <SYSTEM32>\sysreal32.dll
- %PROGRAM_FILES%\pcast\PodcastbarMini\update.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\RarSFX0\101208.exe
- %TEMP%\RarSFX0\31.exe
- %TEMP%\RarSFX0\Setup_w0024.exe
Удаляет следующие файлы:
- %TEMP%\RarSFX0\31.exe
- %TEMP%\RarSFX0\boba_super_update-1.0.0.1_Ete_021.exe
- %TEMP%\RarSFX0\Setup_w0024.exe
- %TEMP%\~DF790.tmp
- %TEMP%\RarSFX0\101208.exe
- %TEMP%\RarSFX0\102054.exe
Сетевая активность:
Подключается к:
- 'localhost':1046
- 'www.mo##ad.com':80
- 'www.56##own.com':80
- 'dm##.dmcast.com':80
- 'www.ho##od.com':80
- 'up####.qyule.com':80
- 'localhost':1044
TCP:
Запросы HTTP GET:
- www.mo##ad.com/net/sefInstall034.txt
- www.56##own.com/abc/31.htm
- dm##.dmcast.com/setup/iebar.exe
- www.ho##od.com/setup.exe
- up####.qyule.com/qyl.exe
UDP:
- DNS ASK www.mo##ad.com
- DNS ASK www.56##own.com
- DNS ASK dm##.dmcast.com
- DNS ASK www.ho##od.com
- DNS ASK up####.qyule.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
