Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\smsss
- <SYSTEM32>\tasks\smss
- <SYSTEM32>\tasks\csrssc
- <SYSTEM32>\tasks\csrss
- <SYSTEM32>\tasks\system
- <SYSTEM32>\tasks\systems
- <SYSTEM32>\tasks\dwmd
- <SYSTEM32>\tasks\dwm
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\how to restore your files.txt
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
удаляет теневые копии разделов.
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\smss.exe
- C:\users\default\documents\how to restore your files.txt
- C:\users\default\documents\my music\how to restore your files.txt
- C:\users\default\documents\my pictures\how to restore your files.txt
- C:\users\default\documents\my videos\how to restore your files.txt
- C:\users\default\downloads\how to restore your files.txt
- C:\users\default\favorites\how to restore your files.txt
- C:\users\default\links\how to restore your files.txt
- C:\users\public\how to restore your files.txt
- C:\users\default\local settings\how to restore your files.txt
- C:\users\default\nethood\how to restore your files.txt
- C:\users\default\recent\how to restore your files.txt
- C:\users\default\sendto\how to restore your files.txt
- C:\users\default\saved games\how to restore your files.txt
- C:\users\default\start menu\how to restore your files.txt
- C:\users\default\templates\how to restore your files.txt
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\886983d96e3d3e.alice
- C:\users\default\cookies\how to restore your files.txt
- C:\users\default\desktop\how to restore your files.txt
- C:\users\default\printhood\how to restore your files.txt
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\6cb0b6c459d5d3.alice
- C:\totalcmd\language\how to restore your files.txt
- C:\far2\plugins\ftp\lib\how to restore your files.txt
- C:\far2\plugins\hlfviewer\how to restore your files.txt
- C:\far2\plugins\macroview\how to restore your files.txt
- C:\far2\plugins\network\how to restore your files.txt
- C:\far2\plugins\proclist\how to restore your files.txt
- C:\far2\plugins\tmppanel\how to restore your files.txt
- C:\far2\pluginsdk\how to restore your files.txt
- C:\far2\pluginsdk\headers.c\how to restore your files.txt
- C:\msocache\how to restore your files.txt
- C:\perflogs\how to restore your files.txt
- C:\far2\pluginsdk\headers.pas\how to restore your files.txt
- C:\perflogs\admin\how to restore your files.txt
- C:\recovery\how to restore your files.txt
- C:\totalcmd\how to restore your files.txt
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\how to restore your files.txt
- C:\users\default\how to restore your files.txt
- C:\far2\plugins\filecase\how to restore your files.txt
- C:\users\default\application data\how to restore your files.txt
- %TEMP%\8ipvcczfyr
- C:\users\public\documents\how to restore your files.txt
- %HOMEPATH%\cookies\how to restore your files.txt
- %HOMEPATH%\desktop\how to restore your files.txt
- %HOMEPATH%\favorites\msn websites\how to restore your files.txt
- %HOMEPATH%\favorites\windows live\how to restore your files.txt
- %HOMEPATH%\local settings\how to restore your files.txt
- %HOMEPATH%\links\how to restore your files.txt
- %HOMEPATH%\nethood\how to restore your files.txt
- %HOMEPATH%\printhood\how to restore your files.txt
- C:\users\public\desktop\how to restore your files.txt
- %HOMEPATH%\saved games\how to restore your files.txt
- %HOMEPATH%\sendto\how to restore your files.txt
- %HOMEPATH%\start menu\how to restore your files.txt
- %HOMEPATH%\templates\how to restore your files.txt
- %HOMEPATH%\voip\how to restore your files.txt
- <Текущая директория>\how to restore your files.txt
- D:\how to restore your files.txt
- %HOMEPATH%\favorites\microsoft websites\how to restore your files.txt
- %HOMEPATH%\favorites\links for united states\how to restore your files.txt
- %HOMEPATH%\contacts\how to restore your files.txt
- %HOMEPATH%\favorites\links\how to restore your files.txt
- %HOMEPATH%\favorites\how to restore your files.txt
- C:\users\public\documents\my music\how to restore your files.txt
- C:\users\public\documents\my videos\how to restore your files.txt
- C:\users\public\downloads\how to restore your files.txt
- C:\users\public\favorites\how to restore your files.txt
- C:\users\public\libraries\how to restore your files.txt
- C:\users\public\music\sample music\how to restore your files.txt
- C:\users\public\pictures\sample pictures\how to restore your files.txt
- C:\far2\plugins\emenu\how to restore your files.txt
- C:\users\public\recorded tv\how to restore your files.txt
- C:\far2\plugins\ftp\how to restore your files.txt
- C:\users\public\videos\sample videos\how to restore your files.txt
- %HOMEPATH%\application data\how to restore your files.txt
- %HOMEPATH%\documents\how to restore your files.txt
- %HOMEPATH%\documents\my music\how to restore your files.txt
- %HOMEPATH%\documents\my pictures\how to restore your files.txt
- %HOMEPATH%\documents\my videos\how to restore your files.txt
- %HOMEPATH%\downloads\how to restore your files.txt
- C:\users\public\recorded tv\sample media\how to restore your files.txt
- C:\users\public\documents\my pictures\how to restore your files.txt
- %HOMEPATH%\how to restore your files.txt
- C:\far2\plugins\farcmds\how to restore your files.txt
- C:\far2\plugins\editcase\how to restore your files.txt
- C:\far2\plugins\drawline\how to restore your files.txt
- %TEMP%\othiix0ibl
- %TEMP%\wnni5nyror
- %TEMP%\7iokpxtdqc
- %TEMP%\hsxsi9eezq
- %TEMP%\jvchm6fvwn
- %TEMP%\0qhcugegdl
- %TEMP%\ewcjneaua6
- %TEMP%\su1yhlfh7s
- %TEMP%\r8rcmrkuic
- %TEMP%\e7lolx3ddi
- %TEMP%\guv04gyt5j
- %TEMP%\axju3gfz7w
- %TEMP%\tpwicvjnmt
- %TEMP%\mgnbig2bzy
- %TEMP%\uf2eggy08m
- %TEMP%\mg90fdvihf
- %TEMP%\pg9o0lrjq0
- %TEMP%\eeszkstr1o
- %TEMP%\vnwnzbfrrb
- %TEMP%\rmc4lln8pf
- %ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\rcx2d68.tmp
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csrss.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\886983d96e3d3e
- <Текущая директория>\system.exe
- <Текущая директория>\27d1bcfc3c54e0
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dwm.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\6cb0b6c459d5d3
- <Текущая директория>\rcx2a0c.tmp
- %TEMP%\yj7lglcyut
- <Текущая директория>\27d1bcfc3c54e0.alice
- <Текущая директория>\rcx2ac8.tmp
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\rcx3131.tmp
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\rcx320c.tmp
- <Текущая директория>\rcx34fa.tmp
- <Текущая директория>\rcx35d6.tmp
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\rcx38a4.tmp
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\rcx3980.tmp
- %TEMP%\uuvgkt56ox
- %ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\69ddcba757bf72
- %ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\rcx2e53.tmp
- %HOMEPATH%\searches\how to restore your files.txt
- %TEMP%\iw3erad10x
- %TEMP%\uprnsny3bs
- C:\far2\addons\shell\how to restore your files.txt
- C:\far2\addons\xlat\how to restore your files.txt
- C:\far2\addons\xlat\russian\how to restore your files.txt
- C:\far2\documentation\how to restore your files.txt
- C:\far2\documentation\eng\how to restore your files.txt
- C:\far2\documentation\rus\how to restore your files.txt
- %TEMP%\dhaxslnyda
- C:\far2\encyclopedia\tap\how to restore your files.txt
- C:\far2\fexcept\how to restore your files.txt
- C:\far2\plugins\how to restore your files.txt
- C:\far2\plugins\align\how to restore your files.txt
- C:\far2\plugins\arclite\how to restore your files.txt
- C:\far2\plugins\autowrap\how to restore your files.txt
- C:\far2\plugins\brackets\how to restore your files.txt
- C:\far2\plugins\compare\how to restore your files.txt
- C:\far2\addons\macros\how to restore your files.txt
- C:\far2\encyclopedia\how to restore your files.txt
- C:\far2\addons\setup\how to restore your files.txt
- C:\far2\addons\colors\custom_highlighting\how to restore your files.txt
- C:\far2\addons\colors\default_highlighting\how to restore your files.txt
- C:\far2\addons\colors\how to restore your files.txt
- %TEMP%\1w6nbdas9e
- %TEMP%\5d8b3ev74a
- %TEMP%\tqvi5fjsx5
- %TEMP%\n09wjccdon
- %TEMP%\dqrpto109a
- %TEMP%\g7xa4vr1w4
- %TEMP%\gvxsch1mgg
- %TEMP%\fmqdydeix1
- %TEMP%\6dvosxlynf
- %TEMP%\nstwypcj2y
- %TEMP%\jtchb7rcx2
- %TEMP%\vwdfrwtdpi
- %TEMP%\h.exe
- C:\how to restore your files.txt
- C:\documents and settings\how to restore your files.txt
- C:\far2\how to restore your files.txt
- %TEMP%\n6akgcwosy
- C:\far2\addons\how to restore your files.txt
- %TEMP%\ukqui0anbq
- %HOMEPATH%\recent\how to restore your files.txt
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>
- %ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\smss.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csrss.exe
- <Текущая директория>\system.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dwm.exe
Удаляет следующие файлы
- %TEMP%\uuvgkt56ox
- %TEMP%\iw3erad10x
- %TEMP%\gvxsch1mgg
- %TEMP%\6dvosxlynf
- %TEMP%\n6akgcwosy
- %TEMP%\uprnsny3bs
- %TEMP%\1w6nbdas9e
- %TEMP%\uf2eggy08m
- %TEMP%\yj7lglcyut
- %TEMP%\5d8b3ev74a
- %TEMP%\dqrpto109a
- %TEMP%\g7xa4vr1w4
- %TEMP%\fmqdydeix1
- %TEMP%\8ipvcczfyr
- %TEMP%\nstwypcj2y
- %TEMP%\ukqui0anbq
- %TEMP%\tqvi5fjsx5
- %TEMP%\n09wjccdon
- %TEMP%\mgnbig2bzy
- %TEMP%\tpwicvjnmt
- %TEMP%\axju3gfz7w
- %TEMP%\pg9o0lrjq0
- %TEMP%\vnwnzbfrrb
- %TEMP%\mg90fdvihf
- %TEMP%\dhaxslnyda
- %TEMP%\eeszkstr1o
- %TEMP%\othiix0ibl
- %TEMP%\wnni5nyror
- %TEMP%\rmc4lln8pf
- %TEMP%\7iokpxtdqc
- %TEMP%\jvchm6fvwn
- %TEMP%\0qhcugegdl
- %TEMP%\ewcjneaua6
- %TEMP%\su1yhlfh7s
- %TEMP%\r8rcmrkuic
- %TEMP%\e7lolx3ddi
- %TEMP%\guv04gyt5j
- %TEMP%\hsxsi9eezq
- %TEMP%\jtchb7rcx2
- %TEMP%\vwdfrwtdpi
Перемещает следующие файлы
- <Текущая директория>\rcx2ac8.tmp в <Полный путь к файлу>
- %ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\rcx2d68.tmp в %ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\smss.exe
- %ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\rcx2e53.tmp в %ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\smss.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\rcx3131.tmp в C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csrss.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\rcx320c.tmp в C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csrss.exe
- <Текущая директория>\rcx34fa.tmp в <Текущая директория>\system.exe
- <Текущая директория>\rcx35d6.tmp в <Текущая директория>\system.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\rcx38a4.tmp в C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dwm.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\rcx3980.tmp в C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dwm.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\6cb0b6c459d5d3 в C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\6cb0b6c459d5d3.alice
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\886983d96e3d3e в C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\886983d96e3d3e.alice
- <Текущая директория>\27d1bcfc3c54e0 в <Текущая директория>\27d1bcfc3c54e0.alice
Изменяет следующие файлы
- C:\far2\far.map.alice
- C:\far2\addons\colors\default_highlighting\colors_from_sadovoj.reg.alice
- C:\far2\addons\colors\default_highlighting\colors_from_admin_essp_ru.reg.alice
- C:\far2\addons\colors\default_highlighting\black_from_july.reg.alice
- C:\far2\addons\colors\default_highlighting\colors_from_gernichenko.reg.alice
- C:\far2\addons\colors\default_highlighting\black_from_fonarev.reg.alice
- C:\far2\addons\colors\default_highlighting\black_from_myodov.reg.alice
- C:\far2\addons\colors\import_colors.bat.alice
- C:\far2\savesettings.cmd.alice
- C:\far2\addons\colors\export_colors.bat.alice
- C:\far2\farrus.lng.alice
- C:\far2\file_id.diz.alice
- C:\far2\restoresettings.cmd.alice
- C:\far2\addons\colors\descript.ion.alice
- C:\far2\addons\readme.txt.alice
- C:\far2\addons\descript.ion.alice
- C:\far2\farhun.hlf.alice
- C:\far2\farpol.lng.alice
- C:\far2\farspa.lng.alice
- C:\far2\farhun.lng.alice
- C:\far2\farcze.lng.alice
- C:\far2\fareng.lng.alice
- C:\far2\farrus.hlf.alice
- C:\far2\fareng.hlf.alice
- C:\far2\farger.lng.alice
- C:\far2\clearpluginscache.cmd.alice
- C:\far2\changelog_eng.alice
- C:\far2\changelog.alice
- C:\far2\addons\colors\default_highlighting\dn_like.reg.alice
- C:\far2\addons\colors\default_highlighting\descript.ion.alice
Изменяет множество файлов.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '87.##1.77.205':80
- 'ip##fo.io':443
- 'microsoft.com':80
- 'ap#.##legram.org':443
TCP
Запросы HTTP GET
- http://87.##1.77.205/Universal/2windows8Image/BaseJavascript0/Geo7flowerWp/4longpollsecureGenerator/6Linux7/VideoSecurevideo/0temporary/Http4protect/4Windowsdownloadspublic/JavascriptPhpVideosq...
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Другие
- 'ip##fo.io':443
- 'ap#.##legram.org':443
UDP
- DNS ASK ip##fo.io
- DNS ASK microsoft.com
- DNS ASK ap#.##legram.org
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csrss.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\System.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dwm.exe'
- '%ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\smss.exe'
- '%TEMP%\h.exe'
- '%ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\smss.exe' ' (со скрытым окном)
- '%TEMP%\h.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 10 /tr "'%ProgramFiles(x86)%\Microsoft Visual Studio 8\VSTA\Bin\smss.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Microsoft Visual Studio 8\VSTA\Bin\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 10 /tr "'%ProgramFiles(x86)%\Microsoft Visual Studio 8\VSTA\Bin\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 11 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csrss.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 14 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "SystemS" /sc MINUTE /mo 6 /tr "'<Текущая директория>\System.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'<Текущая директория>\System.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "SystemS" /sc MINUTE /mo 13 /tr "'<Текущая директория>\System.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 8 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dwm.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 10 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dwm.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\Microsoft Visual Studio 8\VSTA\Bin\smss.exe'
- '%WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe'
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet
