Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\testee.cer
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM wxServer*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM Intuit.QuickBooks.FCS*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM QBIDPService*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM sqlbrowser*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM RTVscan*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM Culserver*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM sqladhlp*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM sqlagent*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM Sqlservr*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM SavRoam*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM ccSetMgr*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM ccEvtMgr*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM wrapper*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM ONENOTEM*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM fbserver*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM fbguard*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM Simply.SystemTrayIcon*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM SimplyConnectionManager*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM QBCFMonitorService*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM sqlwriter*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM msmdsrv*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM tomcat6*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM MSSQLFDLauncher$SHAREPOINT*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM MSSQLFDLauncher$SBSMONITORING*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM MSSQL$SHAREPOINT*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM MSSQL$SBSMONITORING*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM MSSQL$MICROSOFT##SSEE*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM msftesql-Exchange*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM SQLAgent$KAV_CS_ADMIN_KIT*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM MSSQLServerADHelper100*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM MySQL57*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM MSSQL$KAV_CS_ADMIN_KIT*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM FishbowlMySQL*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM SQLAgent$VEEAMSQL2012*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM MSSQL$VEEAMSQL2012*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM MSSQL$MICROSOFT##WID*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM dbeng8*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM dbsrv12*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM vmware-converter*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM vmware-usbarbitator64*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM SQLAgent$SBSMONITORING*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM BrCcUxSys*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM BrCtrlCntr*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM AdobeCollabSync*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM axlbridge*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM qbupdate*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM QBDBMgr*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM QBW32*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM winword*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM Defwatch*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM Culture*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM supervise*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM RAgui*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM sqlmangr*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM wxServerView*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM mysql*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM mssql*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM msaccess*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM sql*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM QBVSS*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM QBFCService*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM httpd*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM fdlauncher*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM MsDtSrvr*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM java*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM sync-worker*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM sync-taskbar*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM AdobeIPCBroker*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM node*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM Adobe CEF Helper*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM CoreSync*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM Adobe Desktop Service*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM Creative Cloud*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM AutodeskDesktopApp*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM acwebbrowser*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM mysqld*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM QBDBMgrN*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM ZhuDongFangYu*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM GDscan*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM fdhost*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM wdswfsafe*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM 360doctor*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM 360se*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM InputPersonalization*
- '%WINDIR%\syswow64\taskkill.exe' /F /T /IM SQLAgent$SHAREPOINT*
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\21328.jpg
- %TEMP%\30449.exe
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
TCP
Запросы HTTP GET
- http://fa###ook.com/
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://tl##net.top/p.jpg
- http://tl##net.top/ex64.exe
UDP
- DNS ASK fa###ook.com
- DNS ASK microsoft.com
- DNS ASK tl##net.top
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\30449.exe'
- '%WINDIR%\syswow64\cmd.exe' /c start %TEMP%\21328.jpg' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c start %TEMP%\21328.jpg
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM sqlbrowser*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM RTVscan*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM Culserver*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM sqladhlp*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM sqlagent*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM Sqlservr*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM SavRoam*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM ccSetMgr*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM ccEvtMgr*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM ONENOTEM*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM Intuit.QuickBooks.FCS*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM fbserver*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM fbguard*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM Simply.SystemTrayIcon*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM SimplyConnectionManager*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM BrCcUxSys*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM BrCtrlCntr*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM AdobeCollabSync*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM InputPersonalization*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM wrapper*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM fdhost*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM QBCFMonitorService*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM MSSQLFDLauncher$SHAREPOINT*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM MSSQLFDLauncher$SBSMONITORING*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM MSSQL$SHAREPOINT*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM MSSQL$SBSMONITORING*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM MSSQL$MICROSOFT##SSEE*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM msftesql-Exchange*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM SQLAgent$KAV_CS_ADMIN_KIT*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM MSSQLServerADHelper100*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM MSSQL$KAV_CS_ADMIN_KIT*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM sync-worker*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM QBIDPService*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM SQLAgent$VEEAMSQL2012*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM MSSQL$VEEAMSQL2012*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM MSSQL$MICROSOFT##WID*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM dbeng8*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM dbsrv12*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM vmware-converter*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM vmware-usbarbitator64*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM tomcat6*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM msmdsrv*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM FishbowlMySQL*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM sqlwriter*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM sync-taskbar*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM AdobeIPCBroker*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM node*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM QBFCService*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM supervise*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM RAgui*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM sqlmangr*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM wxServerView*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM mysql*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM mssql*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM msaccess*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM sql*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM SQLAgent$SBSMONITORING*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM Defwatch*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM wxServer*
- '%WINDIR%\syswow64\cmd.exe' /C <SYSTEM32>\vssvc.exe
- '%WINDIR%\syswow64\cmd.exe' /C vssadmin.exe Delete Shadows /All /Quiet
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit.exe /set {default} recoveryenabled No
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin DELETE SYSTEMSTATEBACKUP
- '<SYSTEM32>\vssvc.exe'
- '%WINDIR%\syswow64\cmd.exe' /C wmic.exe SHADOWCOPY DELETE /nointeractive
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM QBVSS*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM MySQL57*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM winword*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM qbupdate*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM QBW32*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM Adobe CEF Helper*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM CoreSync*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM Adobe Desktop Service*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM Creative Cloud*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM acwebbrowser*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM AutodeskDesktopApp*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM mysqld*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM QBDBMgrN*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM QBDBMgr*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM ZhuDongFangYu*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM Culture*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM wdswfsafe*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM 360doctor*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM 360se*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM java*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM MsDtSrvr*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM fdlauncher*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM httpd*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM axlbridge*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM GDscan*
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /F /T /IM SQLAgent$SHAREPOINT*
