Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Adolf Hitler' = '<Полный путь к файлу>'
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\desktop.ini
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\_Adolf Hitler_.bmp
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
удаляет теневые копии разделов.
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %HOMEPATH%\Desktop\_Adolf Hitler_.bmp
- '<SYSTEM32>\cmd.exe' /c vssadmin delete shadow /all /quiet & wmic shadowcopy delete & bcdedit /set {default} boostatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog -q...
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp1.tmp
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\tmp2.tmp
- <SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
- %TEMP%\tmp3.tmp
- %HOMEPATH%\Desktop\_Adolf Hitler_.bmp
- C:\_Adolf Hitler_.bmp
- %TEMP%\_Adolf Hitler_.mp3
- %APPDATA%\Microsoft\Protect\CREDHIST
- %WINDIR%\ЧАГж±іѕ°НјЖ¬.bmp
Присваивает атрибут 'скрытый' для следующих файлов:
- <Полный путь к файлу>
Удаляет следующие файлы:
- %TEMP%\tmp3.tmp
- %TEMP%\tmp2.tmp
- %TEMP%\tmp1.tmp
Перемещает следующие файлы:
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\places.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\places.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\permissions.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\permissions.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\pluginreg.dat в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\pluginreg.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\search.json в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\search.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\formhistory.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\formhistory.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions.ini в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\mimeTypes.rdf в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\mimeTypes.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\localstore.rdf в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\localstore.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userContent-example.css в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userContent-example.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userChrome-example.css в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userChrome-example.0FABFBFF000306E4.AdolfHitler
- %HOMEPATH%\Desktop\_Adolf Hitler_.bmp в %HOMEPATH%\Desktop\_Adolf Hitler_.0FABFBFF000306E4.AdolfHitler
- %HOMEPATH%\Recent\_Adolf Hitler_.lnk в %HOMEPATH%\Recent\_Adolf Hitler_.0FABFBFF000306E4.AdolfHitler
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\baidu[1] в %HOMEPATH%\Local Settings\<INETFILES>\Content.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\signons.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\signons.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarkbackups\bookmarks-2011-11-10.json в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarkbackups\bookmarks-2011-11-10.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\webappsstore.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\webappsstore.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\desktop.ini в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\desktop.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Microsoft\Internet Explorer\Desktop.htt в %APPDATA%\Microsoft\Internet Explorer\Desktop.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Windows Media Player.lnk в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Windows Media Player.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Show Desktop.scf в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Show Desktop.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\desktop.ini в %APPDATA%\desktop.0FABFBFF000306E4.AdolfHitler
- C:\_Adolf Hitler_.bmp в C:\_Adolf Hitler_.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\winscp.rnd в %APPDATA%\winscp.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Microsoft\Internet Explorer\brndlog.bak в %APPDATA%\Microsoft\Internet Explorer\brndlog.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Microsoft\Address Book\%USERNAME%.wab в %APPDATA%\Microsoft\Address Book\%USERNAME%.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\compatibility.ini в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\compatibility.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chromeappsstore.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chromeappsstore.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\content-prefs.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\content-prefs.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\downloads.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\downloads.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cookies.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cookies.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Microsoft\Windows\Themes\Custom.theme в %APPDATA%\Microsoft\Windows\Themes\Custom.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Microsoft\Media Player\0007F0B7.wpl в %APPDATA%\Microsoft\Media Player\0007F0B7.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\profiles.ini в %APPDATA%\Mozilla\Firefox\profiles.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.0FABFBFF000306E4.AdolfHitler
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarks.html в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarks.0FABFBFF000306E4.AdolfHitler
Подменяет следующие файлы:
- <Текущая директория>\0FABFBFF000306E4.AdolfHitler
Самоперемещается:
- из <Полный путь к файлу> в <Текущая директория>\<Имя файла>.0FABFBFF000306E4.AdolfHitler
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность:
Подключается к:
- '12#.#25.114.144':80
TCP:
Запросы HTTP GET:
- http://www.ba##u.com/ via 12#.#25.114.144
UDP:
- DNS ASK www.ba##u.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'ИООс№ЬАнЖч.exe'
- ClassName: 'ShImgVw:CPreviewWnd' WindowName: ''
- ClassName: '' WindowName: 'taskmgr.exe'
- ClassName: '' WindowName: '??????????.exe'
