Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\runtime broker.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\awt.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\64bit_notes.htm
- <Имя диска съемного носителя>:\ituneshelpunavailable.htm
- <Имя диска съемного носителя>:\garden.htm
- <Имя диска съемного носителя>:\browse.htm
- <Имя диска съемного носителя>:\asm.png
- <Имя диска съемного носителя>:\dissolveanother.png
- <Имя диска съемного носителя>:\block.png
- <Имя диска съемного носителя>:\tunpersonalca1.pem
- <Имя диска съемного носителя>:\hhhlcert.pem
- <Имя диска съемного носителя>:\toolbar.bmp
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\tree_view.htm
- %HOMEPATH%\desktop\trivial-merge.htm
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\readme.txt
- C:\far2\plugins\proclist\readme.txt
- %HOMEPATH%\documents\readme.txt
- C:\far2\plugins\compare\readme.txt
- C:\far2\plugins\drawline\readme.txt
- C:\far2\plugins\editcase\readme.txt
- %HOMEPATH%\videos\readme.txt
- %HOMEPATH%\music\readme.txt
- C:\far2\pluginsdk\readme.txt
- D:\$recycle.bin\readme.txt
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\readme.txt
- C:\far2\plugins\tmppanel\readme.txt
- C:\msocache\all users\readme.txt
- C:\far2\plugins\emenu\readme.txt
- C:\far2\plugins\hlfviewer\readme.txt
- C:\far2\plugins\align\readme.txt
- C:\far2\plugins\ftp\lib\readme.txt
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\readme.txt
- C:\far2\plugins\network\readme.txt
- %HOMEPATH%\pictures\readme.txt
- C:\far2\plugins\brackets\readme.txt
- C:\far2\plugins\farcmds\readme.txt
- C:\far2\readme.txt
- C:\far2\addons\colors\readme.txt
- C:\far2\addons\colors\custom_highlighting\readme.txt
- C:\far2\addons\colors\default_highlighting\readme.txt
- C:\far2\addons\macros\readme.txt
- %HOMEPATH%\desktop\readme.txt
- D:\readme.txt
- C:\far2\plugins\arclite\readme.txt
- C:\far2\addons\setup\readme.txt
- %HOMEPATH%\readme.txt
- C:\far2\plugins\readme.txt
- C:\far2\plugins\filecase\readme.txt
- C:\far2\addons\shell\readme.txt
- C:\far2\addons\xlat\readme.txt
- C:\far2\addons\xlat\russian\readme.txt
- C:\far2\documentation\readme.txt
- C:\far2\encyclopedia\readme.txt
- C:\readme.txt
- C:\far2\plugins\macroview\readme.txt
- C:\far2\documentation\eng\readme.txt
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
TCP
Запросы HTTP GET
- http://ic###azip.com/
- http://re#######ata.merehosting.com/db
- http://re#######ata.merehosting.com/db/
UDP
- DNS ASK ic###azip.com
- DNS ASK re#######ata.merehosting.com
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe'
- '<SYSTEM32>\vssvc.exe'
- '<SYSTEM32>\svchost.exe' -k swprv
