Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\QR_210039.exe' (загружен из сети Интернет)
- '%TEMP%\Setup_s_@3l_10014.exe' (загружен из сети Интернет)
- '%TEMP%\KuaiZip_Setup_-886285036_zzlm_005.exe' (загружен из сети Интернет)
- '%TEMP%\z909_hhgwsp.exe' (загружен из сети Интернет)
- '%TEMP%\seefly_017.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '%TEMP%\QR_210039.exe'
- '%TEMP%\Setup_s_@3l_10014.exe'
- '%TEMP%\KuaiZip_Setup_-886285036_zzlm_005.exe'
- '%TEMP%\z909_hhgwsp.exe'
- '%TEMP%\seefly_017.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\QR_210039.exe
- %TEMP%\Setup_s_@3l_10014.exe
- %TEMP%\QQPCDownload45488.exe
- %TEMP%\KuaiZip_Setup_-886285036_zzlm_005.exe
- C:\win.txt
- %TEMP%\z909_hhgwsp.exe
- %TEMP%\seefly_017.exe
Сетевая активность:
Подключается к:
- 'd.##zip.com':80
- '42.##2.152.91':8679
- 'cd#.#ote001.com':80
- 'dl###6.qq.com':80
- 'dl.##oku.net':80
- '11#.#7.39.170':9898
- 'localhost':1037
- 'ml####28.website':99
- 'dl.##ymall.net':80
- 'www.sx###glong.cn':80
TCP:
Запросы HTTP GET:
- http://cd#.#ote001.com/download/qrcode/kq/QR_210039.exe
- http://dl.##oku.net/Setup_s_@3l_10014.exe
- http://dl###6.qq.com/invc/xfspeed/qqpcmgr/download/QQPCDownload45488.exe
- http://www.sx###glong.cn/xz/09/z909_hhgwsp.exe
- http://dl.##ymall.net/d/seefly_017.exe
- http://d.##zip.com/kzzzlm/KuaiZip_Setup_-886285036_zzlm_005.exe
UDP:
- DNS ASK cd#.#ote001.com
- DNS ASK dl.##oku.net
- DNS ASK dl###6.qq.com
- DNS ASK d.##zip.com
- DNS ASK ml####28.website
- DNS ASK www.sx###glong.cn
- DNS ASK dl.##ymall.net
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
