Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '%TEMP%\1puyq7qwrvcqvvcalh4z4k14bhdgfyp9ua.exe' "%TEMP%\1Puyq7qWRVcqvvCaLH4Z4K14bhDGfYP9ua.php" 1Puyq7qWRVcqvvCaLH4Z4K14bhDGfYP9ua 0.09593 TXcaCBaseaSPA08Fi4t/f7y6BGx3wcgcAjUKSIwSnFDd5Xl8IbwIyehwZPz7ExxTl53OG+kXc04NaxI0
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\split.avi
- %HOMEPATH%\desktop\tileimage.bmp
- %HOMEPATH%\desktop\toolbar.bmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\1puyq7qwrvcqvvcalh4z4k14bhdgfyp9ua.doc
- %HOMEPATH%\links\desktop.hta
- %HOMEPATH%\desktop\total commander 64 bit.hta
- %HOMEPATH%\desktop\telegram.hta
- %HOMEPATH%\desktop\qip 2012.hta
- %HOMEPATH%\desktop\mail.ru agent.hta
- %HOMEPATH%\desktop\icq.hta
- C:\users\public\desktop\winamp.hta
- C:\users\public\desktop\steam.hta
- %HOMEPATH%\links\downloads.hta
- C:\users\public\desktop\opera.hta
- C:\users\public\desktop\mozilla firefox.hta
- C:\users\public\desktop\mirc.hta
- C:\users\public\desktop\google chrome.hta
- C:\users\public\desktop\acrobat reader dc.hta
- %TEMP%\1puyq7qwrvcqvvcalh4z4k14bhdgfyp9ua.db
- %TEMP%\1puyq7qwrvcqvvcalh4z4k14bhdgfyp9ua.php
- %TEMP%\php5.dll
- %TEMP%\1puyq7qwrvcqvvcalh4z4k14bhdgfyp9ua.exe
- C:\users\public\desktop\mozilla thunderbird.hta
- %HOMEPATH%\links\recentplaces.hta
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
TCP
Запросы HTTP GET
- http://pl###-nature.fr/counter?00##############################################################################################################################
- http://ja##en.fr/counter?00##############################################################################################################################
- http://pi###moore.fr/counter?00##############################################################################################################################
- http://ea##2ls.com/counter?00##############################################################################################################################
- http://ic##ed.is/counter?00##############################################################################################################################
- http://ic##ed.is/counter/?00##############################################################################################################################
- http://tr###man73.ru/counter/?00##############################################################################################################################
- http://lo####ikservis.ru/counter/?00##############################################################################################################################
- http://se####ent.bel.tr/counter/?00##############################################################################################################################
UDP
- DNS ASK pl###-nature.fr
- DNS ASK ja##en.fr
- DNS ASK pi###moore.fr
- DNS ASK ea##2ls.com
- DNS ASK ic##ed.is
- DNS ASK tr###man73.ru
- DNS ASK pr####toscobra.com
- DNS ASK lo####ikservis.ru
- DNS ASK fi###unset.ru
- DNS ASK se####ent.bel.tr
Другое
Создает и запускает на исполнение
- '%TEMP%\1puyq7qwrvcqvvcalh4z4k14bhdgfyp9ua.exe' "%TEMP%\1Puyq7qWRVcqvvCaLH4Z4K14bhDGfYP9ua.php" 1Puyq7qWRVcqvvCaLH4Z4K14bhDGfYP9ua 0.09593 TXcaCBaseaSPA08Fi4t/f7y6BGx3wcgcAjUKSIwSnFDd5Xl8IbwIyehwZPz7ExxTl53OG+kXc04NaxI0' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' /n "%TEMP%\1Puyq7qWRVcqvvCaLH4Z4K14bhDGfYP9ua.doc"
