Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '1' = '"%TEMP%\9EA3.tmp.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nvngxupdatecheckdaily_{081131b0-31b0-31b0-31b0-081131b031b0}
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\contoso.cer
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\dwm.exe
- <SYSTEM32>\taskhost.exe
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ae7f.tmp
- C:\far2\documentation\rus\readme-warning.txt
- C:\far2\documentation\eng\readme-warning.txt
- C:\far2\addons\readme-warning.txt
- C:\far2\addons\xlat\readme-warning.txt
- C:\far2\addons\xlat\russian\readme-warning.txt
- C:\far2\addons\shell\readme-warning.txt
- C:\far2\addons\setup\readme-warning.txt
- C:\far2\addons\macros\readme-warning.txt
- C:\far2\addons\colors\readme-warning.txt
- C:\far2\addons\colors\default_highlighting\readme-warning.txt
- C:\far2\addons\colors\custom_highlighting\readme-warning.txt
- D:\readme-warning.txt
- %TEMP%\readme-warning.txt
- %TEMP%\webinstaller\qnzuposrqouvfisa\readme-warning.txt
- %TEMP%\temp1_fp_13.0.0.182_archive.zip\fp_13.0.0.182_archive\13_0_r0_182\readme-warning.txt
- %TEMP%\opera installer\readme-warning.txt
- %TEMP%\adobe_admlogs\readme-warning.txt
- %HOMEPATH%\desktop\readme-warning.txt
- C:\readme-warning.txt
- %TEMP%\9ea3.tmp.exe
- %APPDATA%\eaievws
- C:\far2\encyclopedia\tap\readme-warning.txt
- C:\far2\encyclopedia\readme-warning.txt
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\eaievws
Перемещает следующие файлы
- %TEMP%\adobearm.log в %TEMP%\adobearm.log.kjhslgjkjdfg
- %TEMP%\jusched.log в %TEMP%\jusched.log.kjhslgjkjdfg
- %TEMP%\microsoft .net framework 4.5 setup_20150506_155317844.html в %TEMP%\microsoft .net framework 4.5 setup_20150506_155317844.html.kjhslgjkjdfg
- %TEMP%\microsoft .net framework 4.5.2 setup_20151216_212237215-msi_netfx_full_gdr_x64.msi.txt в %TEMP%\microsoft .net framework 4.5.2 setup_20151216_212237215-msi_netfx_full_gdr_x64.msi.txt.kjhslgjkjdfg
- %TEMP%\microsoft .net framework 4.5.2 setup_20151216_212237215.html в %TEMP%\microsoft .net framework 4.5.2 setup_20151216_212237215.html.kjhslgjkjdfg
- %TEMP%\microsoft visual c++ 2010 x86 redistributable setup_20150506_155226438.html в %TEMP%\microsoft visual c++ 2010 x86 redistributable setup_20150506_155226438.html.kjhslgjkjdfg
- %TEMP%\msi1cfbe.log в %TEMP%\msi1cfbe.log.kjhslgjkjdfg
- %TEMP%\msic204f.log в %TEMP%\msic204f.log.kjhslgjkjdfg
- %TEMP%\msie45bf.log в %TEMP%\msie45bf.log.kjhslgjkjdfg
- %TEMP%\wallpaper.bmp в %TEMP%\wallpaper.bmp.kjhslgjkjdfg
- %TEMP%\msieb217.log в %TEMP%\msieb217.log.kjhslgjkjdfg
- %TEMP%\rgie195.tmp в %TEMP%\rgie195.tmp.kjhslgjkjdfg
- %TEMP%\rgie195.tmp-tmp в %TEMP%\rgie195.tmp-tmp.kjhslgjkjdfg
- %TEMP%\setupexe(20151124155624744).log в %TEMP%\setupexe(20151124155624744).log.kjhslgjkjdfg
- %TEMP%\setupexe(201603101200226dc).log в %TEMP%\setupexe(201603101200226dc).log.kjhslgjkjdfg
- %TEMP%\setupexe(20160310140634718).log в %TEMP%\setupexe(20160310140634718).log.kjhslgjkjdfg
- %TEMP%\user.bmp в %TEMP%\user.bmp.kjhslgjkjdfg
- %TEMP%\jawshtml.html в %TEMP%\jawshtml.html.kjhslgjkjdfg
- %TEMP%\msid38c.log в %TEMP%\msid38c.log.kjhslgjkjdfg
- %TEMP%\javadeployreg.log в %TEMP%\javadeployreg.log.kjhslgjkjdfg
- %TEMP%\dd_setuputility.txt в %TEMP%\dd_setuputility.txt.kjhslgjkjdfg
- %TEMP%\adobearm_notlocked.log в %TEMP%\adobearm_notlocked.log.kjhslgjkjdfg
- %TEMP%\adobesfx.log в %TEMP%\adobesfx.log.kjhslgjkjdfg
- %TEMP%\ae7f.tmp в %TEMP%\ae7f.tmp.kjhslgjkjdfg
- %TEMP%\aspnetsetup.log в %TEMP%\aspnetsetup.log.kjhslgjkjdfg
- %TEMP%\aspnetsetup_00000.log в %TEMP%\aspnetsetup_00000.log.kjhslgjkjdfg
- %TEMP%\aspnetsetup_00001.log в %TEMP%\aspnetsetup_00001.log.kjhslgjkjdfg
- %TEMP%\dd_ndp452-kb2901907-x86-x64-allos-enu_decompression_log.txt в %TEMP%\dd_ndp452-kb2901907-x86-x64-allos-enu_decompression_log.txt.kjhslgjkjdfg
- %TEMP%\dd_vcredist_amd64_20151216210341.log в %TEMP%\dd_vcredist_amd64_20151216210341.log.kjhslgjkjdfg
- %TEMP%\dotnetfx.log в %TEMP%\dotnetfx.log.kjhslgjkjdfg
- %TEMP%\dd_vcredist_amd64_20151216210341_000_vcruntimeminimum_x64.log в %TEMP%\dd_vcredist_amd64_20151216210341_000_vcruntimeminimum_x64.log.kjhslgjkjdfg
- %TEMP%\dd_vcredist_amd64_20151216210341_001_vcruntimeadditional_x64.log в %TEMP%\dd_vcredist_amd64_20151216210341_001_vcruntimeadditional_x64.log.kjhslgjkjdfg
- %TEMP%\dd_vcredist_x86_20151216210157.log в %TEMP%\dd_vcredist_x86_20151216210157.log.kjhslgjkjdfg
- %TEMP%\dd_vcredist_x86_20151216210157_000_vcruntimeminimum_x86.log в %TEMP%\dd_vcredist_x86_20151216210157_000_vcruntimeminimum_x86.log.kjhslgjkjdfg
- %TEMP%\dd_vcredist_x86_20151216210157_001_vcruntimeadditional_x86.log в %TEMP%\dd_vcredist_x86_20151216210157_001_vcruntimeadditional_x86.log.kjhslgjkjdfg
- %TEMP%\dd_wcf_ca_smci_20151217_052858_840.txt в %TEMP%\dd_wcf_ca_smci_20151217_052858_840.txt.kjhslgjkjdfg
- %TEMP%\dd_wcf_ca_smci_20151217_052908_497.txt в %TEMP%\dd_wcf_ca_smci_20151217_052908_497.txt.kjhslgjkjdfg
- %TEMP%\dotnetfxsdk.log в %TEMP%\dotnetfxsdk.log.kjhslgjkjdfg
- %TEMP%\wmsetup.log в %TEMP%\wmsetup.log.kjhslgjkjdfg
Самоудаляется.
Создает файлы с требованием оплатить расшифровку файлов (Trojan.Encoder).
Сетевая активность
TCP
Запросы HTTP GET
- http://gs#####netiplist.net/lok.exe
Запросы HTTP POST
- http://gs######etiplist.download/sub/index.php
UDP
- DNS ASK gs######etiplist.download
- DNS ASK gs#####netiplist.net
Другое
Создает и запускает на исполнение
- '%TEMP%\9ea3.tmp.exe'
- '%TEMP%\9ea3.tmp.exe' n2920
- '<SYSTEM32>\cmd.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe'
- '<SYSTEM32>\sc.exe' delete "ReportServer$OPTIMA"
- '<SYSTEM32>\sc.exe' delete "msftesql$SQLEXPRESS"
- '<SYSTEM32>\sc.exe' delete "postgresql-x64-9.4"
- '<SYSTEM32>\sc.exe' delete WRSVC
- '<SYSTEM32>\sc.exe' delete ekrn
- '<SYSTEM32>\sc.exe' delete klim6
- '<SYSTEM32>\sc.exe' delete "AVP18.0.0"
- '<SYSTEM32>\sc.exe' delete KLIF
- '<SYSTEM32>\sc.exe' delete klpd
- '<SYSTEM32>\sc.exe' delete klflt
- '<SYSTEM32>\sc.exe' delete klbackupdisk
- '<SYSTEM32>\sc.exe' delete klbackupflt
- '<SYSTEM32>\sc.exe' delete klkbdflt
- '<SYSTEM32>\sc.exe' delete klmouflt
- '<SYSTEM32>\sc.exe' delete klhk
- '<SYSTEM32>\sc.exe' delete "KSDE1.0.0"
- '<SYSTEM32>\sc.exe' delete kltap
- '<SYSTEM32>\sc.exe' delete TmFilter
- '<SYSTEM32>\sc.exe' delete TMLWCSService
- '<SYSTEM32>\sc.exe' delete tmusa
- '<SYSTEM32>\sc.exe' delete TmPreFilter
- '<SYSTEM32>\sc.exe' delete TMSmartRelayService
- '<SYSTEM32>\sc.exe' delete TMiCRCScanService
- '<SYSTEM32>\sc.exe' delete VSApiNt
- '<SYSTEM32>\sc.exe' delete TmCCSF
- '<SYSTEM32>\sc.exe' delete tmlisten
- '<SYSTEM32>\sc.exe' delete TmProxy
- '<SYSTEM32>\sc.exe' delete ntrtscan
- '<SYSTEM32>\sc.exe' delete ofcservice
- '<SYSTEM32>\sc.exe' delete "SQLAgent$OPTIMA"
- '<SYSTEM32>\vssvc.exe'
- '<SYSTEM32>\sc.exe' delete "MSSQL$OPTIMA"
- '<SYSTEM32>\sc.exe' delete "SQLAgent$WOLTERSKLUWER"
- '<SYSTEM32>\sc.exe' delete vmickvpexchange
- '<SYSTEM32>\sc.exe' delete vmicguestinterface
- '<SYSTEM32>\sc.exe' delete vmicshutdown
- '<SYSTEM32>\sc.exe' delete vmicheartbeat
- '<SYSTEM32>\sc.exe' delete vmicrdv
- '<SYSTEM32>\sc.exe' delete storflt
- '<SYSTEM32>\sc.exe' delete vmictimesync
- '<SYSTEM32>\sc.exe' delete vmicvss
- '<SYSTEM32>\sc.exe' delete MSSQLFDLauncher
- '<SYSTEM32>\sc.exe' delete MSSQLSERVER
- '<SYSTEM32>\sc.exe' delete SQLSERVERAGENT
- '<SYSTEM32>\sc.exe' delete SQLBrowser
- '<SYSTEM32>\sc.exe' delete SQLTELEMETRY
- '<SYSTEM32>\sc.exe' delete MsDtsServer130
- '<SYSTEM32>\sc.exe' delete SSISTELEMETRY130
- '<SYSTEM32>\sc.exe' delete SQLWriter
- '<SYSTEM32>\sc.exe' delete "MSSQL$VEEAMSQL2012"
- '<SYSTEM32>\sc.exe' delete "SQLAgent$VEEAMSQL2012"
- '<SYSTEM32>\sc.exe' delete MSSQL
- '<SYSTEM32>\sc.exe' delete SQLAgent
- '<SYSTEM32>\sc.exe' delete MSSQLServerADHelper100
- '<SYSTEM32>\sc.exe' delete MSSQLServerOLAPService
- '<SYSTEM32>\sc.exe' delete MsDtsServer100
- '<SYSTEM32>\sc.exe' delete ReportServer
- '<SYSTEM32>\sc.exe' delete "SQLTELEMETRY$HL"
- '<SYSTEM32>\sc.exe' delete TMBMServer
- '<SYSTEM32>\sc.exe' delete "MSSQL$PROGID"
- '<SYSTEM32>\sc.exe' delete "MSSQL$WOLTERSKLUWER"
- '<SYSTEM32>\sc.exe' delete "SQLAgent$PROGID"
- '<SYSTEM32>\sc.exe' delete "MSSQLFDLauncher$OPTIMA"
- '<SYSTEM32>\svchost.exe' -k swprv
