Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\archer.avi
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer
- %HOMEPATH%\desktop\weeklysheet1215.doc
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\howto-index.html
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\adadsi.html
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\tree_view.html
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\zqlsqswg.0.cs
- %TEMP%\zqlsqswg.cmdline
- %TEMP%\zqlsqswg.out
- %TEMP%\csc1a75.tmp
- %TEMP%\res1a76.tmp
- %TEMP%\zqlsqswg.dll
- %TEMP%\jtay70dg.0.cs
- %TEMP%\jtay70dg.cmdline
- %TEMP%\jtay70dg.out
- %TEMP%\csc1d63.tmp
- %TEMP%\res1d74.tmp
- %TEMP%\jtay70dg.dll
- D:\54bec1-readme.txt
- %HOMEPATH%\contacts\54bec1-readme.txt
- %HOMEPATH%\desktop\54bec1-readme.txt
- %HOMEPATH%\favorites\links\54bec1-readme.txt
Удаляет следующие файлы
- %TEMP%\res1a76.tmp
- %TEMP%\csc1a75.tmp
- %TEMP%\zqlsqswg.cmdline
- %TEMP%\zqlsqswg.0.cs
- %TEMP%\zqlsqswg.out
- %TEMP%\zqlsqswg.dll
- %TEMP%\zqlsqswg.pdb
- %TEMP%\res1d74.tmp
- %TEMP%\csc1d63.tmp
- %TEMP%\jtay70dg.cmdline
- %TEMP%\jtay70dg.out
- %TEMP%\jtay70dg.pdb
- %TEMP%\jtay70dg.0.cs
- %TEMP%\jtay70dg.dll
Перемещает следующие файлы
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest.54bec1
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\cryptocme.sig в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\cryptocme.sig.54bec1
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zqlsqswg.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1A76.tmp" "%TEMP%\CSC1A75.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\jtay70dg.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1D74.tmp" "%TEMP%\CSC1D63.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zqlsqswg.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1A76.tmp" "%TEMP%\CSC1A75.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\jtay70dg.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1D74.tmp" "%TEMP%\CSC1D63.tmp"
