Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\alert.html
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\tileimage.bmp
- %HOMEPATH%\desktop\toolbar.bmp
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\favorites\links\почта.url
- %HOMEPATH%\favorites\links\яндекс.url
Перемещает следующие файлы
- %APPDATA%\.purple\prefs.xml в %APPDATA%\.purple\prefs.xml.zyr
- %APPDATA%\telegram desktop\unins000.exe в %APPDATA%\telegram desktop\unins000.exe.zyr
- %APPDATA%\telegram desktop\updater.exe в %APPDATA%\telegram desktop\updater.exe.zyr
- %APPDATA%\thunderbird\profiles\cr5sc40q.default\blocklist.xml в %APPDATA%\thunderbird\profiles\cr5sc40q.default\blocklist.xml.zyr
- %APPDATA%\thunderbird\profiles\cr5sc40q.default\cert8.db в %APPDATA%\thunderbird\profiles\cr5sc40q.default\cert8.db.zyr
- %APPDATA%\thunderbird\profiles\cr5sc40q.default\key3.db в %APPDATA%\thunderbird\profiles\cr5sc40q.default\key3.db.zyr
- %APPDATA%\thunderbird\profiles\cr5sc40q.default\mailviews.dat в %APPDATA%\thunderbird\profiles\cr5sc40q.default\mailviews.dat.zyr
- %APPDATA%\thunderbird\profiles\cr5sc40q.default\secmod.db в %APPDATA%\thunderbird\profiles\cr5sc40q.default\secmod.db.zyr
- %APPDATA%\thunderbird\profiles\cr5sc40q.default\virtualfolders.dat в %APPDATA%\thunderbird\profiles\cr5sc40q.default\virtualfolders.dat.zyr
- %APPDATA%\winrar\version.dat в %APPDATA%\winrar\version.dat.zyr
- %HOMEPATH%\favorites\links\почта.url в %HOMEPATH%\favorites\links\почта.url.zyr
- %HOMEPATH%\favorites\links\яндекс.url в %HOMEPATH%\favorites\links\яндекс.url.zyr
- %TEMP%\aucheck_parser.txt в %TEMP%\aucheck_parser.txt.zyr
- %TEMP%\dd_clwireg.txt в %TEMP%\dd_clwireg.txt.zyr
- %TEMP%\dd_depcheck_netfx20_exp_35.txt в %TEMP%\dd_depcheck_netfx20_exp_35.txt.zyr
- %TEMP%\dd_depcheck_netfx_exp_35.txt в %TEMP%\dd_depcheck_netfx_exp_35.txt.zyr
- %TEMP%\dd_dotnetfx20error.txt в %TEMP%\dd_dotnetfx20error.txt.zyr
- %TEMP%\dd_dotnetfx20install.txt в %TEMP%\dd_dotnetfx20install.txt.zyr
- %TEMP%\dd_dotnetfx35error.txt в %TEMP%\dd_dotnetfx35error.txt.zyr
- %TEMP%\dd_dotnetfx35install.txt в %TEMP%\dd_dotnetfx35install.txt.zyr
- %TEMP%\dd_dotnetfx40_full_x86_x64_decompression_log.txt в %TEMP%\dd_dotnetfx40_full_x86_x64_decompression_log.txt.zyr
- %TEMP%\dd_dotnetfx45_full_setup_decompression_log.txt в %TEMP%\dd_dotnetfx45_full_setup_decompression_log.txt.zyr
- %TEMP%\dd_ndp452-kb2901907-x86-x64-allos-enu_decompression_log.txt в %TEMP%\dd_ndp452-kb2901907-x86-x64-allos-enu_decompression_log.txt.zyr
- %TEMP%\dd_net_framework20_setup74f9.txt в %TEMP%\dd_net_framework20_setup74f9.txt.zyr
- %TEMP%\dd_net_framework30_setup7762.txt в %TEMP%\dd_net_framework30_setup7762.txt.zyr
- %TEMP%\dd_net_framework35_msi77c4.txt в %TEMP%\dd_net_framework35_msi77c4.txt.zyr
- %TEMP%\dd_wcf_retca4a2a.txt в %TEMP%\dd_wcf_retca4a2a.txt.zyr
- %TEMP%\dd_xps.txt в %TEMP%\dd_xps.txt.zyr
- %APPDATA%\telegram desktop\unins000.dat в %APPDATA%\telegram desktop\unins000.dat.zyr
- %TEMP%\downloader.exe в %TEMP%\downloader.exe.zyr
- %APPDATA%\telegram desktop\telegram.exe в %APPDATA%\telegram desktop\telegram.exe.zyr
- %APPDATA%\sun\java\au\au.cab в %APPDATA%\sun\java\au\au.cab.zyr
- %APPDATA%\.purple\status.xml в %APPDATA%\.purple\status.xml.zyr
- %APPDATA%\icq-profile\installerlang.xml в %APPDATA%\icq-profile\installerlang.xml.zyr
- %APPDATA%\microsoft\dbgclr\7.1\objbrow.dat в %APPDATA%\microsoft\dbgclr\7.1\objbrow.dat.zyr
- %APPDATA%\microsoft\internet explorer\brndlog.txt в %APPDATA%\microsoft\internet explorer\brndlog.txt.zyr
- %APPDATA%\microsoft\internet explorer\quick launch\google chrome.lnk в %APPDATA%\microsoft\internet explorer\quick launch\google chrome.lnk.zyr
- %APPDATA%\microsoft\internet explorer\quick launch\icq.lnk в %APPDATA%\microsoft\internet explorer\quick launch\icq.lnk.zyr
- %APPDATA%\microsoft\internet explorer\quick launch\launch internet explorer browser.lnk в %APPDATA%\microsoft\internet explorer\quick launch\launch internet explorer browser.lnk.zyr
- %APPDATA%\microsoft\internet explorer\quick launch\microsoft office outlook.lnk в %APPDATA%\microsoft\internet explorer\quick launch\microsoft office outlook.lnk.zyr
- %APPDATA%\microsoft\internet explorer\quick launch\mozilla firefox.lnk в %APPDATA%\microsoft\internet explorer\quick launch\mozilla firefox.lnk.zyr
- %APPDATA%\microsoft\internet explorer\quick launch\mozilla thunderbird.lnk в %APPDATA%\microsoft\internet explorer\quick launch\mozilla thunderbird.lnk.zyr
- %APPDATA%\microsoft\internet explorer\quick launch\opera.lnk в %APPDATA%\microsoft\internet explorer\quick launch\opera.lnk.zyr
- %APPDATA%\microsoft\internet explorer\quick launch\qip 2012.lnk в %APPDATA%\microsoft\internet explorer\quick launch\qip 2012.lnk.zyr
- %APPDATA%\microsoft\internet explorer\quick launch\telegram.lnk в %APPDATA%\microsoft\internet explorer\quick launch\telegram.lnk.zyr
- %APPDATA%\microsoft\internet explorer\quick launch\windows media player.lnk в %APPDATA%\microsoft\internet explorer\quick launch\windows media player.lnk.zyr
- %APPDATA%\microsoft\msdn\7.0\objbrow.dat в %APPDATA%\microsoft\msdn\7.0\objbrow.dat.zyr
- %APPDATA%\microsoft\outlook\outcmd.dat в %APPDATA%\microsoft\outlook\outcmd.dat.zyr
- %APPDATA%\microsoft\outlook\outlook.xml в %APPDATA%\microsoft\outlook\outlook.xml.zyr
- %APPDATA%\microsoft\publisher\pubcmd12.dat в %APPDATA%\microsoft\publisher\pubcmd12.dat.zyr
- %APPDATA%\mozilla\firefox\profiles\22ie2h77.default\blocklist.xml в %APPDATA%\mozilla\firefox\profiles\22ie2h77.default\blocklist.xml.zyr
- %APPDATA%\opera software\opera stable\favorites.db в %APPDATA%\opera software\opera stable\favorites.db.zyr
- %APPDATA%\opera software\opera stable\opera_shutdown_ms.txt в %APPDATA%\opera software\opera stable\opera_shutdown_ms.txt.zyr
- %APPDATA%\opera software\opera stable\thumbnails.db в %APPDATA%\opera software\opera stable\thumbnails.db.zyr
- %APPDATA%\opera software\opera stable\dictionaries\dictionaries.xml в %APPDATA%\opera software\opera stable\dictionaries\dictionaries.xml.zyr
- %APPDATA%\qipguard\chrome.dll в %APPDATA%\qipguard\chrome.dll.zyr
- %APPDATA%\qipguard\qipguard.exe в %APPDATA%\qipguard\qipguard.exe.zyr
- %APPDATA%\qipguard\qipguard_upd.exe в %APPDATA%\qipguard\qipguard_upd.exe.zyr
- %APPDATA%\qipguard\sqlite3.dll в %APPDATA%\qipguard\sqlite3.dll.zyr
- %APPDATA%\telegram desktop\log.txt в %APPDATA%\telegram desktop\log.txt.zyr
- %TEMP%\mirc743.exe в %TEMP%\mirc743.exe.zyr
Самоперемещается
- из <Полный путь к файлу> в C:\user\systems\local.exe
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
