Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '%TEMP%\1lbd1z3q1jvqvwart43onckfmyx5gjgbvq.exe' "%TEMP%\1LbD1z3Q1JVQVWArt43oNcKfMyX5GjGBvq.php" 1LbD1z3Q1JVQVWArt43oNcKfMyX5GjGBvq 0.11178 Y5rpyqa6RhRlp80y2g+cLW1VK3eg0MU17uAHWTUTlBDX+RpoowpElIxPM2mpmfsoxebNwHFvDKdN2oFHvXdKj8LGkOfY0
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\split.avi
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\1lbd1z3q1jvqvwart43onckfmyx5gjgbvq.doc
- %HOMEPATH%\links\downloads.hta
- %HOMEPATH%\links\desktop.hta
- %HOMEPATH%\desktop\total commander 64 bit.hta
- %HOMEPATH%\desktop\telegram.hta
- %HOMEPATH%\desktop\qip 2012.hta
- %HOMEPATH%\desktop\mail.ru agent.hta
- %HOMEPATH%\desktop\icq.hta
- C:\users\public\desktop\winamp.hta
- C:\users\public\desktop\steam.hta
- C:\users\public\desktop\opera.hta
- C:\users\public\desktop\mozilla thunderbird.hta
- C:\users\public\desktop\mozilla firefox.hta
- C:\users\public\desktop\mirc.hta
- C:\users\public\desktop\google chrome.hta
- C:\users\public\desktop\acrobat reader dc.hta
- %TEMP%\1lbd1z3q1jvqvwart43onckfmyx5gjgbvq.db
- %TEMP%\1lbd1z3q1jvqvwart43onckfmyx5gjgbvq.php
- %TEMP%\php5.dll
- %TEMP%\1lbd1z3q1jvqvwart43onckfmyx5gjgbvq.exe
- %HOMEPATH%\links\recentplaces.hta
- %TEMP%\1lbd1z3q1jvqvwart43onckfmyx5gjgbvq.hta
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
TCP
Запросы HTTP GET
- http://ka##nt.ru/counter?00###########################################################################################################################################
- http://ja##en.fr/counter?00###########################################################################################################################################
- http://ic##ed.is/counter?00###########################################################################################################################################
- http://ic##ed.is/counter/?00###########################################################################################################################################
- http://tr###man73.ru/counter/?00###########################################################################################################################################
- http://lo####ikservis.ru/counter/?00###########################################################################################################################################
- http://se####ent.bel.tr/counter/?00###########################################################################################################################################
UDP
- DNS ASK ka##nt.ru
- DNS ASK ja##en.fr
- DNS ASK ic##ed.is
- DNS ASK tr###man73.ru
- DNS ASK pr####toscobra.com
- DNS ASK lo####ikservis.ru
- DNS ASK fi###unset.ru
- DNS ASK se####ent.bel.tr
Другое
Создает и запускает на исполнение
- '%TEMP%\1lbd1z3q1jvqvwart43onckfmyx5gjgbvq.exe' "%TEMP%\1LbD1z3Q1JVQVWArt43oNcKfMyX5GjGBvq.php" 1LbD1z3Q1JVQVWArt43oNcKfMyX5GjGBvq 0.11178 Y5rpyqa6RhRlp80y2g+cLW1VK3eg0MU17uAHWTUTlBDX+RpoowpElIxPM2mpmfsoxebNwHFvDKdN2oFHvXdKj8LGkOfY0' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' /n "%TEMP%\1LbD1z3Q1JVQVWArt43oNcKfMyX5GjGBvq.doc"
- '%WINDIR%\syswow64\cmd.exe' /c "mshta.exe "%TEMP%\1LbD1z3Q1JVQVWArt43oNcKfMyX5GjGBvq.hta""
- '%WINDIR%\syswow64\mshta.exe' "%TEMP%\1LbD1z3Q1JVQVWArt43oNcKfMyX5GjGBvq.hta"
