Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '%TEMP%\1jgpjla5cpgrmubviwjdqw68qsfmfq5pwl.exe' "%TEMP%\1JGPjLA5CPgRmuBviwJdQW68qsFMFq5pwL.php" 1JGPjLA5CPgRmuBviwJdQW68qsFMFq5pwL 0.10229 zZMe7xGseaTvYMjn67cgeN07BZDtxEyEuYmOVnIVmTA95hljpkcJtI7xGv17FBhSEZ1JHt4UQQ0
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\1jgpjla5cpgrmubviwjdqw68qsfmfq5pwl.doc
- %HOMEPATH%\links\desktop.hta
- %HOMEPATH%\desktop\total commander 64 bit.hta
- %HOMEPATH%\desktop\telegram.hta
- %HOMEPATH%\desktop\qip 2012.hta
- %HOMEPATH%\desktop\mail.ru agent.hta
- %HOMEPATH%\desktop\icq.hta
- C:\users\public\desktop\winamp.hta
- C:\users\public\desktop\steam.hta
- %HOMEPATH%\links\downloads.hta
- C:\users\public\desktop\opera.hta
- C:\users\public\desktop\mozilla firefox.hta
- C:\users\public\desktop\mirc.hta
- C:\users\public\desktop\google chrome.hta
- C:\users\public\desktop\acrobat reader dc.hta
- %TEMP%\1jgpjla5cpgrmubviwjdqw68qsfmfq5pwl.db
- %TEMP%\1jgpjla5cpgrmubviwjdqw68qsfmfq5pwl.php
- %TEMP%\php5.dll
- %TEMP%\1jgpjla5cpgrmubviwjdqw68qsfmfq5pwl.exe
- C:\users\public\desktop\mozilla thunderbird.hta
- %HOMEPATH%\links\recentplaces.hta
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
TCP
Запросы HTTP GET
- http://de####menswear.nl/counter?00#########################################################################################################################
- http://ja##en.fr/counter?00#########################################################################################################################
- http://ic##ed.is/counter?00#########################################################################################################################
- http://ic##ed.is/counter/?00#########################################################################################################################
- http://tr###man73.ru/counter/?00#########################################################################################################################
- http://lo####ikservis.ru/counter/?00#########################################################################################################################
- http://se####ent.bel.tr/counter/?00#########################################################################################################################
UDP
- DNS ASK de####menswear.nl
- DNS ASK ja##en.fr
- DNS ASK ic##ed.is
- DNS ASK tr###man73.ru
- DNS ASK pr####toscobra.com
- DNS ASK lo####ikservis.ru
- DNS ASK fi###unset.ru
- DNS ASK se####ent.bel.tr
Другое
Создает и запускает на исполнение
- '%TEMP%\1jgpjla5cpgrmubviwjdqw68qsfmfq5pwl.exe' "%TEMP%\1JGPjLA5CPgRmuBviwJdQW68qsFMFq5pwL.php" 1JGPjLA5CPgRmuBviwJdQW68qsFMFq5pwL 0.10229 zZMe7xGseaTvYMjn67cgeN07BZDtxEyEuYmOVnIVmTA95hljpkcJtI7xGv17FBhSEZ1JHt4UQQ0' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' /n "%TEMP%\1JGPjLA5CPgRmuBviwJdQW68qsFMFq5pwL.doc"
