Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\babyboymaintoscenesbackground_pal.wmv
- <Имя диска съемного носителя>:\swc_2009-03-02.rdf
- <Имя диска съемного носителя>:\taxus_baccata.rdf
- <Имя диска съемного носителя>:\pubnet_855.rtf
- <Имя диска съемного носителя>:\fungalnameauthors.rtf
- <Имя диска съемного носителя>:\router_manual.rtf
- <Имя диска съемного носителя>:\military_callsigns_0311.rtf
- <Имя диска съемного носителя>:\phytoremediation.rtf
- <Имя диска съемного носителя>:\waterlandhealthkano.rtf
- <Имя диска съемного носителя>:\babyboymaintonotesbackground_pal.wmv
- <Имя диска съемного носителя>:\digest.rdf
- <Имя диска съемного носителя>:\elvisimp.rdf
- <Имя диска съемного носителя>:\contenttypes.rdf
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\testee.cer
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\mysbggzm.0.cs
- %ALLUSERSPROFILE%\microsoft toolkit\9f4dd1-readme.txt
- C:\far2\documentation\eng\9f4dd1-readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\9f4dd1-readme.txt
- C:\totalcmd\9f4dd1-readme.txt
- %HOMEPATH%\favorites\links\9f4dd1-readme.txt
- %HOMEPATH%\desktop\9f4dd1-readme.txt
- C:\far2\9f4dd1-readme.txt
- C:\users\public\libraries\9f4dd1-readme.txt
- %HOMEPATH%\contacts\9f4dd1-readme.txt
- %ALLUSERSPROFILE%\microsoft\user account pictures\9f4dd1-readme.txt
- C:\users\public\pictures\sample pictures\9f4dd1-readme.txt
- D:\9f4dd1-readme.txt
- %TEMP%\res6d82.tmp
- %TEMP%\csc6d72.tmp
- %TEMP%\5iy0ll4g.out
- %TEMP%\5iy0ll4g.cmdline
- %TEMP%\5iy0ll4g.0.cs
- %TEMP%\mysbggzm.dll
- %TEMP%\res3708.tmp
- %TEMP%\csc36f7.tmp
- %TEMP%\mysbggzm.out
- %TEMP%\mysbggzm.cmdline
- %TEMP%\5iy0ll4g.dll
- %ProgramFiles(x86)%\k-lite codec pack\icaros\9f4dd1-readme.txt
Удаляет следующие файлы
- %TEMP%\res3708.tmp
- %TEMP%\csc36f7.tmp
- %TEMP%\mysbggzm.out
- %TEMP%\mysbggzm.cmdline
- %TEMP%\mysbggzm.pdb
- %TEMP%\mysbggzm.dll
- %TEMP%\mysbggzm.0.cs
- %TEMP%\res6d82.tmp
- %TEMP%\csc6d72.tmp
- %TEMP%\5iy0ll4g.cmdline
- %TEMP%\5iy0ll4g.out
- %TEMP%\5iy0ll4g.pdb
- %TEMP%\5iy0ll4g.0.cs
- %TEMP%\5iy0ll4g.dll
Перемещает следующие файлы
- %ProgramFiles(x86)%\k-lite codec pack\icaros\ffmpeg license.txt в %ProgramFiles(x86)%\k-lite codec pack\icaros\39e13780b176416ac0.9f4dd1
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agmgpuoptin.ini в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\b1ec8ff75bc4595.9f4dd1
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\cryptocme.sig в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\29eb186940258.9f4dd1
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\rtc.der в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\6c8ee1f.9f4dd1
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\0e45b89b576678207cc6e8a5a1fc31910c.9f4dd1
- %ProgramFiles(x86)%\k-lite codec pack\icaros\resources\icarosdescriptions.propdesc в %ProgramFiles(x86)%\k-lite codec pack\icaros\resources\99c9852b3d400272fdd1c849f35.9f4dd1
- %ProgramFiles(x86)%\mirc\mirc.chm в %ProgramFiles(x86)%\mirc\407c441a.9f4dd1
- %ProgramFiles(x86)%\mirc\ircintro.chm в %ProgramFiles(x86)%\mirc\bae1f660bd78.9f4dd1
- %ProgramFiles(x86)%\winamp\install.ini в %ProgramFiles(x86)%\winamp\0e5137ad64f.9f4dd1
- %ProgramFiles(x86)%\k-lite codec pack\icaros\icaros license.txt в %ProgramFiles(x86)%\k-lite codec pack\icaros\ab70d22d34a9bb828e.9f4dd1
- %ProgramFiles(x86)%\qip 2012\unins000.dat в %ProgramFiles(x86)%\qip 2012\5dbe129297e3.9f4dd1
- %ProgramFiles(x86)%\opera\server_tracking_data в %ProgramFiles(x86)%\opera\66d558ec64d5ff36a0a1.9f4dd1
- %ProgramFiles(x86)%\qip 2012\unins000.msg в %ProgramFiles(x86)%\qip 2012\42aa50e26efc.9f4dd1
- %ProgramFiles(x86)%\opera\installation_status.xml в %ProgramFiles(x86)%\opera\e83e869f3dcdbe1dfb2b15b.9f4dd1
- %ProgramFiles(x86)%\k-lite codec pack\unins000.dat в %ProgramFiles(x86)%\k-lite codec pack\af4a24d38a9e.9f4dd1
- %ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm в %ProgramFiles(x86)%\adobe\acrobat reader dc\7ce917908f.9f4dd1
- %ProgramFiles(x86)%\steam\thirdpartylegalnotices.doc в %ProgramFiles(x86)%\steam\thirdpartylegalnotices.doc.9f4dd1
- %ProgramFiles(x86)%\steam\libav_h264-56.dll.md5 в %ProgramFiles(x86)%\steam\fa76f9c04366328904dba.9f4dd1
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\mysbggzm.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3708.tmp" "%TEMP%\CSC36F7.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5iy0ll4g.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6D82.tmp" "%TEMP%\CSC6D72.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\mysbggzm.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3708.tmp" "%TEMP%\CSC36F7.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5iy0ll4g.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6D82.tmp" "%TEMP%\CSC6D72.tmp"
