Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\tileimage.bmp.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\adadsi.html.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\tree_view.html.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\about.html.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\ituneshelpunavailable.html.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\1189.jpeg.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\210252809.jpeg.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\3.jpg.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\1189.jpg.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\parnas_01.jpg.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\split.avi.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\delete.avi.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\read-this.txt
- <Имя диска съемного носителя>:\000814251_video_01.avi.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\correct.avi.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\alert.html.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\168.jpeg.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\tree_view.htm.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\testee.cer.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\coffee.bmp.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\dashborder_144.bmp.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\contosoroot_1.cer.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\contoso_1.cer.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\contoso.cer.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\trivial-merge.htm.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\testcertificate.cer.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\notepad.exe.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\calc.exe.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\browse.htm.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\garden.htm.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\alert.htm.[rucetsus@gmail.com][mj-au3146295087].cracker
- <Имя диска съемного носителя>:\archer.avi.[rucetsus@gmail.com][mj-au3146295087].cracker
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop MSDTC
- '%WINDIR%\syswow64\net.exe' stop SQLSERVERAGENT
- '%WINDIR%\syswow64\net.exe' stop MSSQLSERVER
- '%WINDIR%\syswow64\net.exe' stop vds
- '%WINDIR%\syswow64\netsh.exe' firewall set opmode mode=disable
- '%WINDIR%\syswow64\net.exe' stop SQLWriter
- '%WINDIR%\syswow64\net.exe' stop SQLBrowser
- '%WINDIR%\syswow64\net.exe' stop MSSQL$CONTOSO1
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\<Имя файла>.exe
- C:\far2\file_id.diz.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\farspa.lng.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\farrus.lng.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\farpol.lng.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\farhun.lng.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\farger.lng.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\farrus.hlf.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\fareng.lng.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\farhun.hlf.[rucetsus@gmail.com][mj-au3146295087].cracker
- D:\read-this.txt
- C:\far2\fareng.hlf.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\farcze.lng.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\restoresettings.cmd.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\far.map.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\changelog.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\clearpluginscache.cmd.[rucetsus@gmail.com][mj-au3146295087].cracker
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.[rucetsus@gmail.com][mj-au3146295087].cracker
- D:\install.log.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\read-this.txt
- %ALLUSERSPROFILE%\prvkey.txt.key
- %ALLUSERSPROFILE%\prvkey.txt
- %WINDIR%\temp\tar8c96.tmp
- %WINDIR%\temp\cab8c95.tmp
- %ALLUSERSPROFILE%\pkey.txt
- %ALLUSERSPROFILE%\idk.txt
- C:\far2\changelog_eng.[rucetsus@gmail.com][mj-au3146295087].cracker
- C:\far2\savesettings.cmd.[rucetsus@gmail.com][mj-au3146295087].cracker
Удаляет следующие файлы
- %WINDIR%\temp\cab8c95.tmp
- %WINDIR%\temp\tar8c96.tmp
Изменяет следующие файлы
- D:\install.log
- C:\far2\farhun.lng
- C:\far2\farrus.hlf
- C:\far2\farger.lng
- <Имя диска съемного носителя>:\tree_view.htm
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\trivial-merge.htm
- <Имя диска съемного носителя>:\garden.htm
- <Имя диска съемного носителя>:\browse.htm
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- C:\far2\fareng.lng
- C:\far2\farhun.hlf
- C:\far2\fareng.hlf
- C:\far2\far.map
- C:\far2\farcze.lng
- C:\far2\changelog
- C:\far2\changelog_eng
- C:\far2\clearpluginscache.cmd
- C:\far2\farpol.lng
- C:\far2\farrus.lng
Изменяет множество файлов.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'localhost':49177
- 'localhost':49179
- 'ap#.#y-ip.io':443
- 'x1.#.lencr.org':80
- 'r3.#.lencr.org':80
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
- http://r3.#.lencr.org/MFMwUTBPME0wSzAJBgUrDgMCGgUABBRI2smg%2ByvTLU%2Fw3mjS9We3NfmzxAQUFC6zF7dYVsuuUAlA5h%2BvnYsUwsYCEgQ%2BC%2FZCAPf9%2FYYEZIAfOoPZOw%3D%3D
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Другие
- 'localhost':49177
- 'localhost':49179
- 'localhost':49180
- 'ap#.#y-ip.io':443
UDP
- DNS ASK ap#.#y-ip.io
- DNS ASK x1.#.lencr.org
- DNS ASK r3.#.lencr.org
- DNS ASK microsoft.com
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c net stop MSDTC
- '%WINDIR%\syswow64\net1.exe' stop SQLBrowser
- '%WINDIR%\syswow64\cmd.exe' /c net stop SQLBrowser
- '%WINDIR%\syswow64\net1.exe' stop SQLWriter
- '%WINDIR%\syswow64\cmd.exe' /c net stop SQLWriter
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall set opmode mode=disable
- '%WINDIR%\syswow64\netsh.exe' advfirewall set currentprofile state off
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall set currentprofile state off
- '%WINDIR%\syswow64\net1.exe' stop vds
- '%WINDIR%\syswow64\cmd.exe' /c net stop vds
- '%WINDIR%\syswow64\net1.exe' stop MSSQLSERVER
- '%WINDIR%\syswow64\cmd.exe' /c net stop MSSQLSERVER
- '%WINDIR%\syswow64\net1.exe' stop SQLSERVERAGENT
- '%WINDIR%\syswow64\cmd.exe' /c net stop SQLSERVERAGENT
- '%WINDIR%\syswow64\cmd.exe' /c wbadmin delete catalog -quiet
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled no
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
- '%WINDIR%\syswow64\net1.exe' stop MSDTC
- '%WINDIR%\syswow64\cmd.exe' /c net stop MSSQL$CONTOSO1
- '%WINDIR%\syswow64\net1.exe' stop MSSQL$CONTOSO1
