Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\46582a-readme.txt
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\4f0bf7ff71f28.jpg
- <Имя диска съемного носителя>:\3.jpg
- <Имя диска съемного носителя>:\pushkin.jpg
- <Имя диска съемного носителя>:\scan.mov
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
- <Имя диска съемного носителя>:\samieee_obiee_presentation.pptx
- <Имя диска съемного носителя>:\middaugh_keynote.pptx
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\adadsi.html
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\alert.htm
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\pushkin.jpeg
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\lisp_success.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rqy4fmpv.0.cs
- %TEMP%\rqy4fmpv.cmdline
- %TEMP%\rqy4fmpv.out
- %TEMP%\csca673.tmp
- %TEMP%\resa684.tmp
- %TEMP%\rqy4fmpv.dll
- %TEMP%\oqlgifc4.0.cs
- %TEMP%\oqlgifc4.cmdline
- %TEMP%\oqlgifc4.out
- %TEMP%\csca990.tmp
- %TEMP%\resa991.tmp
- %TEMP%\oqlgifc4.dll
- D:\46582a-readme.txt
Удаляет следующие файлы
- %TEMP%\resa684.tmp
- %TEMP%\csca673.tmp
- %TEMP%\rqy4fmpv.dll
- %TEMP%\rqy4fmpv.pdb
- %TEMP%\rqy4fmpv.0.cs
- %TEMP%\rqy4fmpv.out
- %TEMP%\rqy4fmpv.cmdline
- %TEMP%\resa991.tmp
- %TEMP%\csca990.tmp
- %TEMP%\oqlgifc4.dll
- %TEMP%\oqlgifc4.pdb
- %TEMP%\oqlgifc4.cmdline
- %TEMP%\oqlgifc4.out
- %TEMP%\oqlgifc4.0.cs
Перемещает следующие файлы
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agmgpuoptin.ini в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agmgpuoptin.ini.46582a
- %ProgramFiles%\foxit\foxit в %ProgramFiles%\foxit\foxit.46582a
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\rqy4fmpv.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA684.tmp" "%TEMP%\CSCA673.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\oqlgifc4.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA991.tmp" "%TEMP%\CSCA990.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\rqy4fmpv.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA684.tmp" "%TEMP%\CSCA673.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\oqlgifc4.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA991.tmp" "%TEMP%\CSCA990.tmp"
- '<SYSTEM32>\vssvc.exe'
