Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'eebcf' = '"<Полный путь к файлу>" '
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\enigma_info.txt
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\E_N_I_G_M_A.RSA2
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Protect\CREDHIST
- %TEMP%\falcon9.falcon
- %HOMEPATH%\Desktop\enigma_info.txt
- %HOMEPATH%\Desktop\E_N_I_G_M_A.RSA
- %TEMP%\prkey.prkey
- %TEMP%\pbkey.pbkey
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\d99e964c16600b1681cdfbad2d5d5eac_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\workstatistic.dat
- %TEMP%\E_N_I_G_M_A.RSA
- %TEMP%\enigma_info.txt
Удаляет следующие файлы:
- %TEMP%\E_N_I_G_M_A.RSA
Подменяет следующие файлы:
- %TEMP%\E_N_I_G_M_A.RSA
Сетевая активность:
Подключается к:
- '93.##5.201.113':80
TCP:
Запросы HTTP GET:
- http://93.##5.201.113/get.php
- http://93.##5.201.113/get1.php?xp
