Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox
- <SYSTEM32>\tasks\firefoxf
- <SYSTEM32>\tasks\mdm
- <SYSTEM32>\tasks\mdmm
- <SYSTEM32>\tasks\iexplore
- <SYSTEM32>\tasks\csrss
- <SYSTEM32>\tasks\csrssc
- <SYSTEM32>\tasks\iexplorei
- <SYSTEM32>\tasks\spoolsvs
- <SYSTEM32>\tasks\spoolsv
- <SYSTEM32>\tasks\servicess
- <SYSTEM32>\tasks\services
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\22a50700c786c58e98a52ef13ce40f22.exe
- <Имя диска съемного носителя>:\nwfieldnotes1966.lnk
- <Имя диска съемного носителя>:\cveuropeo.lnk
- <Имя диска съемного носителя>:\fi51.lnk
- <Имя диска съемного носителя>:\ovp25012015.lnk
- <Имя диска съемного носителя>:\february_catalogue__2015.lnk
- <Имя диска съемного носителя>:\lisp_success.lnk
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.lnk
- <Имя диска съемного носителя>:\contoso.lnk
- <Имя диска съемного носителя>:\testee.lnk
- <Имя диска съемного носителя>:\sdkfailsafeemulator.lnk
- <Имя диска съемного носителя>:\contoso_1.lnk
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.lnk
- <Имя диска съемного носителя>:\contosoroot.lnk
- <Имя диска съемного носителя>:\dashborder_192.lnk
- <Имя диска съемного носителя>:\dashborder_144.lnk
- <Имя диска съемного носителя>:\toolbar.lnk
- <Имя диска съемного носителя>:\coffee.lnk
- <Имя диска съемного носителя>:\tileimage.lnk
- <Имя диска съемного носителя>:\join.lnk
- <Имя диска съемного носителя>:\000814251_video_01.lnk
- <Имя диска съемного носителя>:\delete.lnk
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.lnk
- <Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.lnk
Изменения в файловой системе
Создает следующие файлы
- C:\far2\pluginsdk\headers.pas\firefox.exe
- %TEMP%\2yfkm50wme
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\9db6e019d4f04e
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\iexplore.exe
- C:\msocache\all users\c5b4cb5e9653cc
- C:\msocache\all users\services.exe
- <Текущая директория>\0fc223bdacedc3
- <Текущая директория>\firefox.exe
- %TEMP%\gcmeml12ut.bat
- C:\far2\pluginsdk\headers.pas\f3b6ecef712a24
- C:\totalcmd\language\886983d96e3d3e
- C:\totalcmd\language\csrss.exe
- C:\totalcmd\language\9db6e019d4f04e
- C:\totalcmd\language\iexplore.exe
- C:\far2\addons\macros\559fba5f8e4410
- C:\far2\addons\macros\mdm.exe
- C:\far2\pluginsdk\headers.pas\0fc223bdacedc3
- C:\far2\pluginsdk\headers.pas\spoolsv.exe
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\22a50700c786c58e98a52ef13ce40f22.exe
Удаляет следующие файлы
- %TEMP%\2yfkm50wme
Сетевая активность
Подключается к
- '62.##9.14.206':80
- 'ip##fo.io':443
TCP
Запросы HTTP GET
- http://62.##9.14.206/cpu/toprocessorBigload2/6/CdnProtect/3Lowlinux/8/secureflowertraffictestDatalife.php?Or#####################################################################################...
- http://62.##9.14.206/cpu/toprocessorBigload2/6/CdnProtect/3Lowlinux/8/secureflowertraffictestDatalife.php?93#####################################################################################...
Другие
- 'ip##fo.io':443
UDP
- DNS ASK ip##fo.io
- 'localhost':123
Другое
Создает и запускает на исполнение
- 'C:\totalcmd\language\csrss.exe'
- '%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\GCmEMl12ut.bat"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 9 /tr "'C:\Far2\PluginSDK\Headers.pas\firefox.exe'" /f
- '%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\GCmEMl12ut.bat"
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 5 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 14 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\iexplore.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 11 /tr "'C:\MSOCache\All Users\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'C:\MSOCache\All Users\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 10 /tr "'C:\MSOCache\All Users\services.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 6 /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 13 /tr "'<Текущая директория>\firefox.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 5 /tr "'C:\Far2\PluginSDK\Headers.pas\spoolsv.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'C:\Far2\PluginSDK\Headers.pas\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 13 /tr "'C:\totalcmd\LANGUAGE\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 11 /tr "'C:\totalcmd\LANGUAGE\csrss.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 9 /tr "'C:\totalcmd\LANGUAGE\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 12 /tr "'C:\totalcmd\LANGUAGE\iexplore.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "mdmm" /sc MINUTE /mo 14 /tr "'C:\Far2\Addons\Macros\mdm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'C:\Far2\Addons\Macros\mdm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "mdmm" /sc MINUTE /mo 11 /tr "'C:\Far2\Addons\Macros\mdm.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 9 /tr "'C:\Far2\PluginSDK\Headers.pas\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'C:\Far2\PluginSDK\Headers.pas\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 13 /tr "'C:\Far2\PluginSDK\Headers.pas\spoolsv.exe'" /f
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
