Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\weeklysheet1215.doc
- %HOMEPATH%\desktop\adadsi.html
- %HOMEPATH%\desktop\alert.htm
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\garden.htm
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\iisstart.html
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\pushkin.jpg
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\tree_view.htm
- %HOMEPATH%\desktop\trivial-merge.htm
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %HOMEPATH%\desktop\3.jpeg
- %HOMEPATH%\desktop\168.jpg
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\delself.bat
Изменяет следующие файлы
- %ProgramFiles%\java\jre1.8.0_45\copyright
- %ProgramFiles%\microsoft office\document themes 14\waveform.thmx
- %ProgramFiles%\microsoft office\document themes 14\theme effects\waveform.eftx
- %ProgramFiles%\microsoft office\document themes 14\theme colors\urban.xml
- %ProgramFiles%\microsoft office\document themes 14\theme colors\verve.xml
- %ProgramFiles%\microsoft office\document themes 14\theme colors\waveform.xml
- %ProgramFiles%\microsoft office\document themes 14\thatch.thmx
- %ProgramFiles%\microsoft office\clipart\publisher\backgrounds\wb02218_.gif
- %ProgramFiles%\microsoft office\clipart\pub60cor\wnter_01.mid
- %ProgramFiles%\microsoft office\clipart\pub60cor\so02261_.wmf
- %ProgramFiles%\microsoft office\clipart\pub60cor\ph02750g.gif
- %ProgramFiles%\microsoft office\clipart\pub60cor\na02386_.wmf
- %ProgramFiles%\microsoft office\clipart\pub60cor\j0341328.jpg
- %ProgramFiles%\microsoft office\clipart\pub60cor\j0106208.wmf
- %ProgramFiles%\microsoft office\clipart\pub60cor\j0099149.wmf
- %ProgramFiles%\microsoft office\clipart\pub60cor\fd00397_.wmf
- %ProgramFiles%\microsoft office\clipart\pub60cor\an04174_.wmf
- %ProgramFiles%\java\jre1.8.0_45\welcome.html
- %ProgramFiles%\java\jre1.8.0_45\lib\rt.jar
- %ProgramFiles%\java\jre1.8.0_45\lib\logging.properties
- %ProgramFiles%\java\jre1.8.0_45\lib\images\cursors\win32_movenodrop32x32.gif
- %ProgramFiles%\java\jre1.8.0_45\lib\hijrah-config-umalqura.properties
- %ProgramFiles%\java\jre1.8.0_45\lib\fontconfig.bfc
- %ProgramFiles%\java\jre1.8.0_45\lib\fontconfig.properties.src
- %ProgramFiles%\java\jre1.8.0_45\lib\deploy.jar
- %ProgramFiles%\java\jre1.8.0_45\lib\content-types.properties
- %ProgramFiles%\java\jre1.8.0_45\lib\currency.data
- %ProgramFiles%\java\jre1.8.0_45\lib\classlist
- %ProgramFiles%\microsoft office\document themes 14\verve.thmx
- %ProgramFiles%\microsoft office\document themes 14\urban.thmx
Изменяет множество файлов.
Самоудаляется.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'k9####06.bget.ru':80
TCP
Запросы HTTP GET
- http://www.k9####06.bget.ru/
UDP
- DNS ASK k9####06.bget.ru
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\delself.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\delself.bat
