Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\lisp_success.doc
- <Имя диска съемного носителя>:\alert.html
- <Имя диска съемного носителя>:\iisstart.html
- <Имя диска съемного носителя>:\tree_view.html
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\tree_view.htm
- <Имя диска съемного носителя>:\browse.htm
- <Имя диска съемного носителя>:\garden.htm
- <Имя диска съемного носителя>:\advice_process.htm
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\toolbar.bmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\w7nvry6t.0.cs
- C:\far2\addons\setup\728621-readme.txt
- C:\far2\addons\colors\728621-readme.txt
- C:\users\public\pictures\sample pictures\728621-readme.txt
- C:\users\public\music\sample music\728621-readme.txt
- C:\users\public\videos\sample videos\728621-readme.txt
- %HOMEPATH%\728621-readme.txt
- C:\users\public\recorded tv\sample media\728621-readme.txt
- C:\users\public\libraries\728621-readme.txt
- %PROGRAMDATA%\microsoft\user account pictures\728621-readme.txt
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\728621-readme.txt
- D:\728621-readme.txt
- C:\far2\728621-readme.txt
- %TEMP%\svsc6a_e.dll
- %TEMP%\res7e2c.tmp
- %TEMP%\csc7e1b.tmp
- %TEMP%\svsc6a_e.out
- %TEMP%\svsc6a_e.cmdline
- %TEMP%\svsc6a_e.0.cs
- %TEMP%\w7nvry6t.dll
- %TEMP%\res7a82.tmp
- %TEMP%\csc7a62.tmp
- %TEMP%\w7nvry6t.out
- %TEMP%\w7nvry6t.cmdline
- %HOMEPATH%\desktop\728621-readme.txt
- %HOMEPATH%\favorites\links\728621-readme.txt
Удаляет следующие файлы
- %TEMP%\res7a82.tmp
- %TEMP%\csc7a62.tmp
- %TEMP%\w7nvry6t.out
- %TEMP%\w7nvry6t.dll
- %TEMP%\w7nvry6t.pdb
- %TEMP%\w7nvry6t.0.cs
- %TEMP%\w7nvry6t.cmdline
- %TEMP%\res7e2c.tmp
- %TEMP%\csc7e1b.tmp
- %TEMP%\svsc6a_e.0.cs
- %TEMP%\svsc6a_e.cmdline
- %TEMP%\svsc6a_e.pdb
- %TEMP%\svsc6a_e.dll
- %TEMP%\svsc6a_e.out
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\w7nvry6t.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7A82.tmp" "%TEMP%\CSC7A62.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\svsc6a_e.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E2C.tmp" "%TEMP%\CSC7E1B.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\w7nvry6t.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7A82.tmp" "%TEMP%\CSC7A62.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\svsc6a_e.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E2C.tmp" "%TEMP%\CSC7E1B.tmp"
