Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\508softwareandos.doc
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\desktop\weeklysheet1215.doc
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\split.avi
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\fa0ixt6b.0.cs
- D:\ade361-readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\ade361-readme.txt
- C:\far2\ade361-readme.txt
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\ade361-readme.txt
- C:\totalcmd\ade361-readme.txt
- %TEMP%\bdvkc_a3.dll
- %TEMP%\res2701.tmp
- %ProgramFiles(x86)%\mirc\ade361-readme.txt
- %TEMP%\csc26f0.tmp
- %TEMP%\bdvkc_a3.cmdline
- %TEMP%\bdvkc_a3.0.cs
- %TEMP%\fa0ixt6b.dll
- %TEMP%\res1803.tmp
- %TEMP%\csc17f3.tmp
- %TEMP%\fa0ixt6b.out
- %TEMP%\fa0ixt6b.cmdline
- %TEMP%\bdvkc_a3.out
- %ALLUSERSPROFILE%\ade361-readme.txt
Удаляет следующие файлы
- %TEMP%\res1803.tmp
- %TEMP%\csc17f3.tmp
- %TEMP%\fa0ixt6b.cmdline
- %TEMP%\fa0ixt6b.0.cs
- %TEMP%\fa0ixt6b.dll
- %TEMP%\fa0ixt6b.pdb
- %TEMP%\fa0ixt6b.out
- %TEMP%\res2701.tmp
- %TEMP%\csc26f0.tmp
- %TEMP%\bdvkc_a3.pdb
- %TEMP%\bdvkc_a3.dll
- %TEMP%\bdvkc_a3.out
- %TEMP%\bdvkc_a3.cmdline
- %TEMP%\bdvkc_a3.0.cs
Перемещает следующие файлы
- %ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm в %ProgramFiles(x86)%\adobe\acrobat reader dc\b183bf85b4.ade361
- %ProgramFiles(x86)%\mirc\readme.txt в %ProgramFiles(x86)%\mirc\7201758407.ade361
- %ProgramFiles(x86)%\winamp\install.ini в %ProgramFiles(x86)%\winamp\15dc4c169fa.ade361
- %ProgramFiles(x86)%\winamp\whatsnew.txt в %ProgramFiles(x86)%\winamp\c7027ea49764.ade361
- %ProgramFiles(x86)%\qip 2012\unins000.msg в %ProgramFiles(x86)%\qip 2012\b6785edefc65.ade361
- %ProgramFiles(x86)%\winamp\paths.ini в %ProgramFiles(x86)%\winamp\ba8fa525b.ade361
- %ProgramFiles(x86)%\qip 2012\unins000.dat в %ProgramFiles(x86)%\qip 2012\028fb1c5f0d9.ade361
- %ProgramFiles(x86)%\winamp\pconfig.dcf в %ProgramFiles(x86)%\winamp\5a4f292a2be.ade361
- %ProgramFiles(x86)%\opera\server_tracking_data в %ProgramFiles(x86)%\opera\eebae8de80479ad75aa4.ade361
- %ProgramFiles(x86)%\opera\resources.pri в %ProgramFiles(x86)%\opera\0bbba63156755.ade361
- %ProgramFiles(x86)%\opera\installer_prefs.json в %ProgramFiles(x86)%\opera\5671c69f7b05bb6984ee.ade361
- %ProgramFiles(x86)%\opera\installation_status.xml в %ProgramFiles(x86)%\opera\ef58a7a8e89a05361d8c0a9.ade361
- %ProgramFiles(x86)%\opera\launcher.visualelementsmanifest.xml в %ProgramFiles(x86)%\opera\ed7e2026903e13646d68f99b451ce3f1727.ade361
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\fa0ixt6b.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1803.tmp" "%TEMP%\CSC17F3.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bdvkc_a3.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2701.tmp" "%TEMP%\CSC26F0.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\fa0ixt6b.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1803.tmp" "%TEMP%\CSC17F3.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bdvkc_a3.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2701.tmp" "%TEMP%\CSC26F0.tmp"
