Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\a020ca-readme.txt
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
- <Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx
- <Имя диска съемного носителя>:\parnas_01.jpeg
- <Имя диска съемного носителя>:\4f0bf7ff71f28.jpeg
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\split.avi
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nbnzp3be.0.cs
- %HOMEPATH%\contacts\a020ca-readme.txt
- D:\a020ca-readme.txt
- %PROGRAMDATA%\microsoft\officesoftwareprotectionplatform\cache\a020ca-readme.txt
- C:\users\public\libraries\a020ca-readme.txt
- C:\far2\a020ca-readme.txt
- %TEMP%\poxe7_pp.dll
- %TEMP%\resa59.tmp
- %ProgramFiles(x86)%\adobe\acrobat reader dc\resource\a020ca-readme.txt
- %TEMP%\csca49.tmp
- %TEMP%\poxe7_pp.cmdline
- %TEMP%\poxe7_pp.0.cs
- %TEMP%\nbnzp3be.dll
- %TEMP%\res78b.tmp
- %TEMP%\csc77a.tmp
- %TEMP%\nbnzp3be.out
- %TEMP%\nbnzp3be.cmdline
- %TEMP%\poxe7_pp.out
- %ProgramFiles(x86)%\adobe\acrobat reader dc\a020ca-readme.txt
Удаляет следующие файлы
- %TEMP%\res78b.tmp
- %TEMP%\csc77a.tmp
- %TEMP%\nbnzp3be.cmdline
- %TEMP%\nbnzp3be.out
- %TEMP%\nbnzp3be.0.cs
- %TEMP%\nbnzp3be.dll
- %TEMP%\nbnzp3be.pdb
- %TEMP%\resa59.tmp
- %TEMP%\csca49.tmp
- %TEMP%\poxe7_pp.pdb
- %TEMP%\poxe7_pp.cmdline
- %TEMP%\poxe7_pp.out
- %TEMP%\poxe7_pp.0.cs
- %TEMP%\poxe7_pp.dll
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nbnzp3be.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES78B.tmp" "%TEMP%\CSC77A.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\poxe7_pp.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA59.tmp" "%TEMP%\CSCA49.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nbnzp3be.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES78B.tmp" "%TEMP%\CSC77A.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\poxe7_pp.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA59.tmp" "%TEMP%\CSCA49.tmp"
- '<SYSTEM32>\vssvc.exe'
