Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '%TEMP%\1mpmsx4f4jpd2ftgv2ask4esfbukbyfaus.exe' "%TEMP%\1MpmSX4F4jPD2Ftgv2aSk4esfBuKByfaus.php" 1MpmSX4F4jPD2Ftgv2aSk4esfBuKByfaus 0.11654 TZAb8BCp+qaVH7Ua8o8fGrza/w3vR0l9f+x3TQhqXao5YxubpKd1MZXphHqFEpxUk5xNG+8Vdc4P2CBhXA0
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\lisp_success.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\1mpmsx4f4jpd2ftgv2ask4esfbukbyfaus.doc
- %HOMEPATH%\links\desktop.hta
- %HOMEPATH%\desktop\total commander 64 bit.hta
- %HOMEPATH%\desktop\telegram.hta
- %HOMEPATH%\desktop\qip 2012.hta
- %HOMEPATH%\desktop\mail.ru agent.hta
- %HOMEPATH%\desktop\icq.hta
- C:\users\public\desktop\winamp.hta
- C:\users\public\desktop\steam.hta
- %HOMEPATH%\links\downloads.hta
- C:\users\public\desktop\opera.hta
- C:\users\public\desktop\mozilla firefox.hta
- C:\users\public\desktop\mirc.hta
- C:\users\public\desktop\google chrome.hta
- C:\users\public\desktop\acrobat reader dc.hta
- %TEMP%\1mpmsx4f4jpd2ftgv2ask4esfbukbyfaus.db
- %TEMP%\1mpmsx4f4jpd2ftgv2ask4esfbukbyfaus.php
- %TEMP%\php5.dll
- %TEMP%\1mpmsx4f4jpd2ftgv2ask4esfbukbyfaus.exe
- C:\users\public\desktop\mozilla thunderbird.hta
- %HOMEPATH%\links\recentplaces.hta
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
TCP
Запросы HTTP GET
- http://ea##2ls.com/counter?00#################################################################################################################################
- http://pf##dler.ru/counter?00#################################################################################################################################
- http://ic##ed.is/counter?00#################################################################################################################################
- http://ic##ed.is/counter/?00#################################################################################################################################
- http://tr###man73.ru/counter/?00#################################################################################################################################
- http://lo####ikservis.ru/counter/?00#################################################################################################################################
- http://se####ent.bel.tr/counter/?00#################################################################################################################################
UDP
- DNS ASK ea##2ls.com
- DNS ASK pf##dler.ru
- DNS ASK ic##ed.is
- DNS ASK tr###man73.ru
- DNS ASK pr####toscobra.com
- DNS ASK lo####ikservis.ru
- DNS ASK fi###unset.ru
- DNS ASK se####ent.bel.tr
Другое
Создает и запускает на исполнение
- '%TEMP%\1mpmsx4f4jpd2ftgv2ask4esfbukbyfaus.exe' "%TEMP%\1MpmSX4F4jPD2Ftgv2aSk4esfBuKByfaus.php" 1MpmSX4F4jPD2Ftgv2aSk4esfBuKByfaus 0.11654 TZAb8BCp+qaVH7Ua8o8fGrza/w3vR0l9f+x3TQhqXao5YxubpKd1MZXphHqFEpxUk5xNG+8Vdc4P2CBhXA0' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' /n "%TEMP%\1MpmSX4F4jPD2Ftgv2aSk4esfBuKByfaus.doc"
