Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\b13d88-readme.txt
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\excel_example.xls
- <Имя диска съемного носителя>:\waterresourcesag.pptx
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\split.avi
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\tileimage.bmp
- %HOMEPATH%\desktop\toolbar.bmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ojpwtm1k.0.cs
- %TEMP%\ojpwtm1k.cmdline
- %TEMP%\ojpwtm1k.out
- %TEMP%\cscd50a.tmp
- %TEMP%\resd51a.tmp
- %TEMP%\ojpwtm1k.dll
- %TEMP%\cf2dprop.0.cs
- %TEMP%\cf2dprop.cmdline
- %TEMP%\cf2dprop.out
- %TEMP%\cscd72c.tmp
- %TEMP%\resd72d.tmp
- %TEMP%\cf2dprop.dll
- C:\far2\b13d88-readme.txt
- D:\b13d88-readme.txt
Удаляет следующие файлы
- %TEMP%\resd51a.tmp
- %TEMP%\cscd50a.tmp
- %TEMP%\ojpwtm1k.dll
- %TEMP%\ojpwtm1k.cmdline
- %TEMP%\ojpwtm1k.out
- %TEMP%\ojpwtm1k.pdb
- %TEMP%\ojpwtm1k.0.cs
- %TEMP%\resd72d.tmp
- %TEMP%\cscd72c.tmp
- %TEMP%\cf2dprop.dll
- %TEMP%\cf2dprop.out
- %TEMP%\cf2dprop.cmdline
- %TEMP%\cf2dprop.pdb
- %TEMP%\cf2dprop.0.cs
Перемещает следующие файлы
- %ProgramFiles%\microsoft office\document themes 14\adjacency.thmx в %ProgramFiles%\microsoft office\document themes 14\adjacency.thmx.b13d88
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agmgpuoptin.ini в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agmgpuoptin.ini.b13d88
- %APPDATA%\telegram desktop\log.txt в %APPDATA%\telegram desktop\log.txt.b13d88
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrocef\cef_100_percent.pak в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrocef\cef_100_percent.pak.b13d88
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ojpwtm1k.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD51A.tmp" "%TEMP%\CSCD50A.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cf2dprop.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD72D.tmp" "%TEMP%\CSCD72C.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ojpwtm1k.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD51A.tmp" "%TEMP%\CSCD50A.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cf2dprop.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD72D.tmp" "%TEMP%\CSCD72C.tmp"
