Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\fbbd1e-readme.txt
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\iisstart.html
- %HOMEPATH%\desktop\ituneshelpunavailable.html
- %HOMEPATH%\desktop\parnas_01.jpeg
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\tileimage.bmp
- %HOMEPATH%\desktop\trivial-merge.html
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\kanzzwux.0.cs
- %LOCALAPPDATA%\msfree inc\fbbd1e-readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\fbbd1e-readme.txt
- %HOMEPATH%\contacts\fbbd1e-readme.txt
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\fbbd1e-readme.txt
- %HOMEPATH%\desktop\fbbd1e-readme.txt
- %HOMEPATH%\fbbd1e-readme.txt
- C:\far2\documentation\eng\fbbd1e-readme.txt
- C:\far2\encyclopedia\fbbd1e-readme.txt
- C:\far2\documentation\rus\fbbd1e-readme.txt
- D:\fbbd1e-readme.txt
- C:\users\public\libraries\fbbd1e-readme.txt
- C:\far2\fbbd1e-readme.txt
- %TEMP%\res367a.tmp
- %TEMP%\csc366a.tmp
- %TEMP%\xmx68uud.out
- %TEMP%\xmx68uud.cmdline
- %TEMP%\xmx68uud.0.cs
- %TEMP%\kanzzwux.dll
- %TEMP%\res330f.tmp
- %TEMP%\csc32ff.tmp
- %TEMP%\kanzzwux.out
- %TEMP%\kanzzwux.cmdline
- %TEMP%\xmx68uud.dll
- %PROGRAMDATA%\microsoft\officesoftwareprotectionplatform\cache\fbbd1e-readme.txt
Удаляет следующие файлы
- %TEMP%\res330f.tmp
- %TEMP%\csc32ff.tmp
- %TEMP%\kanzzwux.pdb
- %TEMP%\kanzzwux.0.cs
- %TEMP%\kanzzwux.dll
- %TEMP%\kanzzwux.out
- %TEMP%\kanzzwux.cmdline
- %TEMP%\res367a.tmp
- %TEMP%\csc366a.tmp
- %TEMP%\xmx68uud.out
- %TEMP%\xmx68uud.cmdline
- %TEMP%\xmx68uud.0.cs
- %TEMP%\xmx68uud.dll
- %TEMP%\xmx68uud.pdb
Перемещает следующие файлы
- %ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm в %ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm.fbbd1e
- %ProgramFiles%\microsoft office\document themes 14\waveform.thmx в %ProgramFiles%\microsoft office\document themes 14\waveform.thmx.fbbd1e
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\kanzzwux.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES330F.tmp" "%TEMP%\CSC32FF.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xmx68uud.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES367A.tmp" "%TEMP%\CSC366A.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\kanzzwux.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES330F.tmp" "%TEMP%\CSC32FF.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xmx68uud.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES367A.tmp" "%TEMP%\CSC366A.tmp"
- '<SYSTEM32>\vssvc.exe'
