Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\split.avi
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\sb471nf5.0.cs
- %HOMEPATH%\favorites\links\e4c979-readme.txt
- C:\users\public\pictures\sample pictures\e4c979-readme.txt
- C:\users\public\libraries\e4c979-readme.txt
- D:\e4c979-readme.txt
- C:\far2\e4c979-readme.txt
- %TEMP%\9ezo8qcv.dll
- %TEMP%\resc6b3.tmp
- %HOMEPATH%\contacts\e4c979-readme.txt
- %TEMP%\cscc6b2.tmp
- %TEMP%\9ezo8qcv.cmdline
- %TEMP%\9ezo8qcv.0.cs
- %TEMP%\sb471nf5.dll
- %TEMP%\resc3f4.tmp
- %TEMP%\cscc3e3.tmp
- %TEMP%\sb471nf5.out
- %TEMP%\sb471nf5.cmdline
- %TEMP%\9ezo8qcv.out
- %HOMEPATH%\desktop\e4c979-readme.txt
Удаляет следующие файлы
- %TEMP%\resc3f4.tmp
- %TEMP%\cscc3e3.tmp
- %TEMP%\sb471nf5.pdb
- %TEMP%\sb471nf5.cmdline
- %TEMP%\sb471nf5.dll
- %TEMP%\sb471nf5.out
- %TEMP%\sb471nf5.0.cs
- %TEMP%\resc6b3.tmp
- %TEMP%\cscc6b2.tmp
- %TEMP%\9ezo8qcv.out
- %TEMP%\9ezo8qcv.dll
- %TEMP%\9ezo8qcv.pdb
- %TEMP%\9ezo8qcv.0.cs
- %TEMP%\9ezo8qcv.cmdline
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sb471nf5.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC3F4.tmp" "%TEMP%\CSCC3E3.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\9ezo8qcv.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC6B3.tmp" "%TEMP%\CSCC6B2.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sb471nf5.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC3F4.tmp" "%TEMP%\CSCC3E3.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\9ezo8qcv.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC6B3.tmp" "%TEMP%\CSCC6B2.tmp"
