Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '%TEMP%\1gpgmxsmi6tiukbqrtchjfma3pgebbnfio.exe' "%TEMP%\1GPgMXSMi6tiUkBqRTchJFmA3PGEbbNFio.php" 1GPgMXSMi6tiUkBqRTchJFmA3PGEbbNFio 0.12661 TZP+8RCp+t5pYU5eDTeafD+95QvsJ1H6nHULaPQXHNBY5xicICKWSIoNGwV8lRpSkplJHu8Vcc+OXRZl0
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\1gpgmxsmi6tiukbqrtchjfma3pgebbnfio.doc
- %HOMEPATH%\links\downloads.hta
- %HOMEPATH%\links\desktop.hta
- %HOMEPATH%\desktop\total commander 64 bit.hta
- %HOMEPATH%\desktop\telegram.hta
- %HOMEPATH%\desktop\qip 2012.hta
- %HOMEPATH%\desktop\mail.ru agent.hta
- %HOMEPATH%\desktop\icq.hta
- C:\users\public\desktop\winamp.hta
- C:\users\public\desktop\steam.hta
- C:\users\public\desktop\opera.hta
- C:\users\public\desktop\mozilla thunderbird.hta
- C:\users\public\desktop\mozilla firefox.hta
- C:\users\public\desktop\mirc.hta
- C:\users\public\desktop\google chrome.hta
- C:\users\public\desktop\acrobat reader dc.hta
- %TEMP%\1gpgmxsmi6tiukbqrtchjfma3pgebbnfio.db
- %TEMP%\1gpgmxsmi6tiukbqrtchjfma3pgebbnfio.php
- %TEMP%\php5.dll
- %TEMP%\1gpgmxsmi6tiukbqrtchjfma3pgebbnfio.exe
- %HOMEPATH%\links\recentplaces.hta
- %TEMP%\1gpgmxsmi6tiukbqrtchjfma3pgebbnfio.hta
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
TCP
Запросы HTTP GET
- http://pi###moore.fr/counter?00###############################################################################################################################
- http://ja##en.fr/counter?00###############################################################################################################################
- http://wo###sjoy.ru/counter?00###############################################################################################################################
- http://pl###-nature.fr/counter?00###############################################################################################################################
- http://ic##ed.is/counter?00###############################################################################################################################
- http://ic##ed.is/counter/?00###############################################################################################################################
- http://tr###man73.ru/counter/?00###############################################################################################################################
- http://lo####ikservis.ru/counter/?00###############################################################################################################################
- http://se####ent.bel.tr/counter/?00###############################################################################################################################
UDP
- DNS ASK pi###moore.fr
- DNS ASK ja##en.fr
- DNS ASK wo###sjoy.ru
- DNS ASK pl###-nature.fr
- DNS ASK ic##ed.is
- DNS ASK tr###man73.ru
- DNS ASK pr####toscobra.com
- DNS ASK lo####ikservis.ru
- DNS ASK fi###unset.ru
- DNS ASK se####ent.bel.tr
Другое
Создает и запускает на исполнение
- '%TEMP%\1gpgmxsmi6tiukbqrtchjfma3pgebbnfio.exe' "%TEMP%\1GPgMXSMi6tiUkBqRTchJFmA3PGEbbNFio.php" 1GPgMXSMi6tiUkBqRTchJFmA3PGEbbNFio 0.12661 TZP+8RCp+t5pYU5eDTeafD+95QvsJ1H6nHULaPQXHNBY5xicICKWSIoNGwV8lRpSkplJHu8Vcc+OXRZl0' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' /n "%TEMP%\1GPgMXSMi6tiUkBqRTchJFmA3PGEbbNFio.doc"
- '%WINDIR%\syswow64\cmd.exe' /c "mshta.exe "%TEMP%\1GPgMXSMi6tiUkBqRTchJFmA3PGEbbNFio.hta""
- '%WINDIR%\syswow64\mshta.exe' "%TEMP%\1GPgMXSMi6tiUkBqRTchJFmA3PGEbbNFio.hta"
