Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- svhost.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\howto-index.html
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\tileimage.bmp
- %HOMEPATH%\desktop\toolbar.bmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\svhost.exe
- %HOMEPATH%\desktop\read_it.txt
- %HOMEPATH%\ransom.jpg
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '19#.#0.89.67':11344
TCP
Запросы HTTP GET
- http://19#.##.89.67:11344/x/background.jpg via 19#.#0.89.67
Запросы HTTP POST
- http://19#.##.89.67:11344/x/createkeys.php via 19#.#0.89.67
- http://19#.##.89.67:11344/x/savekey.php via 19#.#0.89.67
Другое
Ищет следующие окна
- ClassName: 'SystemTray_Main' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\svhost.exe'
