Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'taskhostw' = 'C:\Users\taskhostw.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'taskhostw' = '%APPDATA%\taskhostw.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\taskhostw.exe
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\toolbar.bmp
Изменения в файловой системе
Создает следующие файлы
- C:\users\taskhostw.exe
- %ProgramFiles(x86)%\adobe\acrobat reader dc\esl\readme.txt
- C:\totalcmd\readme.txt
- <Текущая директория>\readme.txt
- %HOMEPATH%\favorites\links for united states\readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\readme.txt
- %ProgramFiles%\readme.txt
- %ProgramFiles%\360tray\readme.txt
- %PROGRAMDATA%\adobe\arm\s\readme.txt
- %ProgramFiles%\a2cmd\readme.txt
- %HOMEPATH%\favorites\microsoft websites\readme.txt
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\readme.txt
- %PROGRAMDATA%\adobe\arm\reader_15.007.20033\readme.txt
- %PROGRAMDATA%\adobe\arm\s\10428\readme.txt
- %ProgramFiles%\a2hijackfree\readme.txt
- %ProgramFiles%\a2scan\readme.txt
- %ProgramFiles%\a2service\readme.txt
- %ProgramFiles%\a2start\readme.txt
- %ProgramFiles%\a2upd\readme.txt
- %HOMEPATH%\favorites\msn websites\readme.txt
- %ProgramFiles%\a2wizard\readme.txt
- %ProgramFiles%\aavshield\readme.txt
- %ProgramFiles%\about\readme.txt
- %PROGRAMDATA%\microsoft\assistance\client\1.0\en-us\readme.txt
- %ProgramFiles%\a2guard\readme.txt
- %PROGRAMDATA%\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\readme.txt
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\readme.txt
- C:\users\public\music\sample music\readme.txt
- C:\users\public\pictures\sample pictures\readme.txt
- %APPDATA%\taskhostw.exe
- C:\users\public\desktop\readme.txt
- C:\users\public\videos\readme.txt
- C:\users\public\music\readme.txt
- C:\users\public\pictures\readme.txt
- C:\users\public\downloads\readme.txt
- C:\users\public\documents\readme.txt
- %HOMEPATH%\videos\readme.txt
- %HOMEPATH%\desktop\readme.txt
- %HOMEPATH%\contacts\readme.txt
- %HOMEPATH%\pictures\readme.txt
- %PROGRAMDATA%\microsoft\windows\start menu\programs\startup\taskhostw.exe
- %HOMEPATH%\saved games\readme.txt
- %HOMEPATH%\music\readme.txt
- %HOMEPATH%\favorites\readme.txt
- %HOMEPATH%\links\readme.txt
- %HOMEPATH%\downloads\readme.txt
- %HOMEPATH%\documents\readme.txt
- %ProgramFiles(x86)%\readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\readme.txt
- %HOMEPATH%\favorites\links\readme.txt
- C:\users\public\videos\sample videos\readme.txt
- C:\far2\readme.txt
- %PROGRAMDATA%\readme.txt
- %HOMEPATH%\searches\readme.txt
- %ProgramFiles%\ackwin32\readme.txt
- %HOMEPATH%\favorites\windows live\readme.txt
Перемещает следующие файлы
- %ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm в %ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\extendscript.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\extendscript.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashpopwz\ashpopwz.exe в %ProgramFiles%\ashpopwz\ashpopwz.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\eula.exe в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\eula.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashmaisv\ashmaisv.exe в %ProgramFiles%\ashmaisv\ashmaisv.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\cryptocme.sig в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\cryptocme.sig.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashlogv\ashlogv.exe в %ProgramFiles%\ashlogv\ashlogv.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\cryptocme.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\cryptocme.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashenhcd\ashenhcd.exe в %ProgramFiles%\ashenhcd\ashenhcd.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\cooltype.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\cooltype.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashdug\ashdug.exe в %ProgramFiles%\ashdug\ashdug.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashquick\ashquick.exe в %ProgramFiles%\ashquick\ashquick.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashdisp\ashdisp.exe в %ProgramFiles%\ashdisp\ashdisp.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ccme_ecc.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ccme_ecc.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashchest\ashchest.exe в %ProgramFiles%\ashchest\ashchest.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ccme_base_non_fips.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ccme_base_non_fips.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashavsrv\ashavsrv.exe в %ProgramFiles%\ashavsrv\ashavsrv.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ccme_base.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ccme_base.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashavast\ashavast.exe в %ProgramFiles%\ashavast\ashavast.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ccme_asym.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ccme_asym.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ash\ash.exe в %ProgramFiles%\ash\ash.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\bibutils.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\bibutils.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\armorsurf\armorsurf.exe в %ProgramFiles%\armorsurf\armorsurf.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ccme_ecdrbg.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ccme_ecdrbg.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\pdfprevhndlr.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\pdfprevhndlr.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\avadmin\avadmin.exe в %ProgramFiles%\avadmin\avadmin.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\icudt40.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\icudt40.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\rt3d.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\rt3d.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\autotrace\autotrace.exe в %ProgramFiles%\autotrace\autotrace.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\autostartexplorer\autostartexplorer.exe в %ProgramFiles%\autostartexplorer\autostartexplorer.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\reader_sl.exe в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\reader_sl.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\autodown\autodown.exe в %ProgramFiles%\autodown\autodown.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\pmd.cer в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\pmd.cer.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\aswupdsv\aswupdsv.exe в %ProgramFiles%\aswupdsv\aswupdsv.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\pe.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\pe.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\aswregsvr\aswregsvr.exe в %ProgramFiles%\aswregsvr\aswregsvr.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\pdfsigqformalrep.pdf в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\pdfsigqformalrep.pdf.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\bib.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\bib.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ash_updatemediator\ash_updatemediator.exe в %ProgramFiles%\ash_updatemediator\ash_updatemediator.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashwebsv\ashwebsv.exe в %ProgramFiles%\ashwebsv\ashwebsv.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashupd\ashupd.exe в %ProgramFiles%\ashupd\ashupd.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\onix32.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\onix32.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashskpck\ashskpck.exe в %ProgramFiles%\ashskpck\ashskpck.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\logtransport2.exe в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\logtransport2.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashskpcc\ashskpcc.exe в %ProgramFiles%\ashskpcc\ashskpcc.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\logsession.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\logsession.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashsimpl\ashsimpl.exe в %ProgramFiles%\ashsimpl\ashsimpl.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\jp2klib.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\jp2klib.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashsimp2\ashsimp2.exe в %ProgramFiles%\ashsimp2\ashsimp2.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\icucnv40.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\icucnv40.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ashserv\ashserv.exe в %ProgramFiles%\ashserv\ashserv.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\armor2net\armor2net.exe в %ProgramFiles%\armor2net\armor2net.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrotextextractor.exe в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrotextextractor.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ackwin32\ackwin32.exe в %ProgramFiles%\ackwin32\ackwin32.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32res.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32res.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\about\about.exe в %ProgramFiles%\about\about.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\aavshield\aavshield.exe в %ProgramFiles%\aavshield\aavshield.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32info.exe в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32info.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\a2wizard\a2wizard.exe в %ProgramFiles%\a2wizard\a2wizard.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.exe в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\a2upd\a2upd.exe в %ProgramFiles%\a2upd\a2upd.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\a2start\a2start.exe в %ProgramFiles%\a2start\a2start.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrosup64.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrosup64.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\a2service\a2service.exe в %ProgramFiles%\a2service\a2service.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\a2scan\a2scan.exe в %ProgramFiles%\a2scan\a2scan.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrobroker.exe в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrobroker.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\a2hijackfree\a2hijackfree.exe в %ProgramFiles%\a2hijackfree\a2hijackfree.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ace.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ace.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\a2guard\a2guard.exe в %ProgramFiles%\a2guard\a2guard.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\a3dutils.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\a3dutils.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\a2cmd\a2cmd.exe в %ProgramFiles%\a2cmd\a2cmd.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\360tray\360tray.exe в %ProgramFiles%\360tray\360tray.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\1494870c-9912-c184-4cc9-b401-a53f4d8de290.pdf в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\1494870c-9912-c184-4cc9-b401-a53f4d8de290.pdf.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\esl\aiodlite.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\esl\aiodlite.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrofx32.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrofx32.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobexmp.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobexmp.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\axsle.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\axsle.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\agb5\agb5.exe в %ProgramFiles%\agb5\agb5.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\antivirus\antivirus.exe в %ProgramFiles%\antivirus\antivirus.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\axe8sharedexpat.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\axe8sharedexpat.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\anti-trojan\anti-trojan.exe в %ProgramFiles%\anti-trojan\anti-trojan.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\arh.exe в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\arh.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\amsn\amsn.exe в %ProgramFiles%\amsn\amsn.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ahclient.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ahclient.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\amon\amon.exe в %ProgramFiles%\amon\amon.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agmgpuoptin.ini в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agmgpuoptin.ini.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\alsvc\alsvc.exe в %ProgramFiles%\alsvc\alsvc.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agm.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agm.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\aoltbserver\aoltbserver.exe в %ProgramFiles%\aoltbserver\aoltbserver.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\almon\almon.exe в %ProgramFiles%\almon\almon.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\airdefense\airdefense.exe в %ProgramFiles%\airdefense\airdefense.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adoberfp.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adoberfp.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\aimpro\aimpro.exe в %ProgramFiles%\aimpro\aimpro.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobelinguistic.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobelinguistic.dll.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\aim6\aim6.exe в %ProgramFiles%\aim6\aim6.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobecollabsync.exe в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobecollabsync.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ahnsd\ahnsd.exe в %ProgramFiles%\ahnsd\ahnsd.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\ageofconan\ageofconan.exe в %ProgramFiles%\ageofconan\ageofconan.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adelrcp.exe в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adelrcp.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles%\admunch\admunch.exe в %ProgramFiles%\admunch\admunch.exe.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\rtc.der в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\rtc.der.id=78cbafe1.[recoryfile@tutanota.com]..jwjs
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
TCP
Запросы HTTP GET
- http://ip##pi.com/csv/?fi##################
- http://fi####iles.online/api/gen.php
UDP
- DNS ASK fi####iles.online
- DNS ASK ip##pi.com
Другое
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' Advfirewall set allprofiles state off
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet
- '<SYSTEM32>\cmd.exe' /C vssadmin Delete Shadows /All /Quiet
- '<SYSTEM32>\vssvc.exe'
- '<SYSTEM32>\svchost.exe' -k swprv
