Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\51.mp4
- <Имя диска съемного носителя>:\7790_preview.pdf
- <Имя диска съемного носителя>:\dualectls.pdf
- <Имя диска съемного носителя>:\spib_pima.pdf
- <Имя диска съемного носителя>:\video_1.mp4
- <Имя диска съемного носителя>:\bc01.pdf
- <Имя диска съемного носителя>:\breakpoint.png
- <Имя диска съемного носителя>:\sim_gametheory_to_finance.ppt
- <Имя диска съемного носителя>:\ksearch_esa_talk.ppt
- <Имя диска съемного носителя>:\samieee_obiee_presentation.pptx
- <Имя диска съемного носителя>:\gruenspecht_02172016.pptx
- <Имя диска съемного носителя>:\middaugh_keynote.pptx
- <Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
- <Имя диска съемного носителя>:\roozenedowebinar.pptx
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\vssvc.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\weeklysheet1215.doc
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\dashborder_144.bmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\bziuf7ck.0.cs
- C:\totalcmd\c45234-readme.txt
- C:\far2\documentation\rus\c45234-readme.txt
- C:\far2\c45234-readme.txt
- D:\c45234-readme.txt
- %TEMP%\h8lynxk0.dll
- %TEMP%\resd1af.tmp
- %TEMP%\cscd19f.tmp
- %TEMP%\h8lynxk0.out
- %TEMP%\h8lynxk0.cmdline
- %TEMP%\h8lynxk0.0.cs
- %TEMP%\bziuf7ck.dll
- %TEMP%\resce92.tmp
- %TEMP%\cscce82.tmp
- %TEMP%\bziuf7ck.out
- %TEMP%\bziuf7ck.cmdline
- %HOMEPATH%\contacts\c45234-readme.txt
- C:\far2\encyclopedia\c45234-readme.txt
Удаляет следующие файлы
- %TEMP%\resce92.tmp
- %TEMP%\cscce82.tmp
- %TEMP%\bziuf7ck.pdb
- %TEMP%\bziuf7ck.0.cs
- %TEMP%\bziuf7ck.cmdline
- %TEMP%\bziuf7ck.dll
- %TEMP%\bziuf7ck.out
- %TEMP%\resd1af.tmp
- %TEMP%\cscd19f.tmp
- %TEMP%\h8lynxk0.cmdline
- %TEMP%\h8lynxk0.pdb
- %TEMP%\h8lynxk0.dll
- %TEMP%\h8lynxk0.0.cs
- %TEMP%\h8lynxk0.out
Перемещает следующие файлы
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest.c45234
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agmgpuoptin.ini в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agmgpuoptin.ini.c45234
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bziuf7ck.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCE92.tmp" "%TEMP%\CSCCE82.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\h8lynxk0.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD1AF.tmp" "%TEMP%\CSCD19F.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bziuf7ck.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCE92.tmp" "%TEMP%\CSCCE82.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\h8lynxk0.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD1AF.tmp" "%TEMP%\CSCD19F.tmp"
- '<SYSTEM32>\vssvc.exe'
