Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'afadcedfcba' = '"%TEMP%\enigma.hta" '
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'afadcedfc' = '"<Полный путь к файлу>" '
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\workstatistic.dat
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Protect\CREDHIST
- %TEMP%\ENIGMA.RSA2
- %TEMP%\falcon9.falcon
- %HOMEPATH%\Desktop\enigma_encr.html
- %HOMEPATH%\Desktop\ENIGMA.RSA
- %TEMP%\ENIGMA.RSA
- <SYSTEM32>\Microsoft\Protect\S-1-5-18\Preferred
- <SYSTEM32>\Microsoft\Protect\S-1-5-18\c53e45a8-2cf6-4487-93b4-8647fe6e0652
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\d99e964c16600b1681cdfbad2d5d5eac_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\pbkey.pbkey
- %TEMP%\enigma.hta
- %TEMP%\enigma_encr.html
- %TEMP%\prkey.prkey
Удаляет следующие файлы:
- %TEMP%\ENIGMA.RSA
Подменяет следующие файлы:
- %TEMP%\ENIGMA.RSA
Сетевая активность:
Подключается к:
- '10#.#7.36.111':80
TCP:
Запросы HTTP GET:
- http://10#.#7.36.111/lala.php
