Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'knwstuwkpkbb' = '"<Полный путь к файлу>" --update'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Audio WiMAX Service 4.4' = '"C:\Users\Public\Documents\devenv.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'Audio WiMAX Service 4.4' = '"C:\Users\Public\Documents\devenv.exe"'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'jiedn93' = 'C:\Users\Public\Documents\admtools.exe'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'jiedn93' = 'C:\Users\Public\Documents\admtools.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\delete.avi.exe
- <Имя диска съемного носителя>:\rcxd4a8.tmp
- <Имя диска съемного носителя>:\rcxd478.tmp
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.exe
- <Имя диска съемного носителя>:\rcxd477.tmp
- <Имя диска съемного носителя>:\rcxd447.tmp
- <Имя диска съемного носителя>:\rcxd427.tmp
- <Имя диска съемного носителя>:\fi51.doc.exe
- <Имя диска съемного носителя>:\rcxd416.tmp
- <Имя диска съемного носителя>:\rcxd3d7.tmp
- <Имя диска съемного носителя>:\rcxd3d6.tmp
- <Имя диска съемного носителя>:\rcxd4d8.tmp
- <Имя диска съемного носителя>:\february_catalogue__2015.doc.exe
- <Имя диска съемного носителя>:\rcxd396.tmp
- <Имя диска съемного носителя>:\rcxd375.tmp
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc.exe
- <Имя диска съемного носителя>:\rcxd355.tmp
- <Имя диска съемного носителя>:\rcxcb49.tmp
- <Имя диска съемного носителя>:\rcxcb09.tmp
- <Имя диска съемного носителя>:\cveuropeo.doc.exe
- <Имя диска съемного носителя>:\rcxcaca.tmp
- <Имя диска съемного носителя>:\rcxcaaa.tmp
- <Имя диска съемного носителя>:\rcxca99.tmp
- <Имя диска съемного носителя>:\rcxd3b6.tmp
- <Имя диска съемного носителя>:\rcxe605.tmp
- <Имя диска съемного носителя>:\rcx17bb.tmp
- <Имя диска съемного носителя>:\rcxd863.tmp
- <Имя диска съемного носителя>:\rcxeec7.tmp
- <Имя диска съемного носителя>:\rcxee88.tmp
- <Имя диска съемного носителя>:\rcxee67.tmp
- <Имя диска съемного носителя>:\rcxee57.tmp
- <Имя диска съемного носителя>:\rcxee46.tmp
- <Имя диска съемного носителя>:\rcxee26.tmp
- <Имя диска съемного носителя>:\rcxee15.tmp
- <Имя диска съемного носителя>:\rcxedf5.tmp
- <Имя диска съемного носителя>:\rcxedc5.tmp
- <Имя диска съемного носителя>:\rcxedb5.tmp
- <Имя диска съемного носителя>:\ovp25012015.doc.exe
- <Имя диска съемного носителя>:\rcxeda4.tmp
- <Имя диска съемного носителя>:\rcxdd0f.tmp
- <Имя диска съемного носителя>:\rcxdcdf.tmp
- <Имя диска съемного носителя>:\rcxd9c3.tmp
- <Имя диска съемного носителя>:\rcxd983.tmp
- <Имя диска съемного носителя>:\rcxd973.tmp
- <Имя диска съемного носителя>:\rcxd952.tmp
- <Имя диска съемного носителя>:\rcxd932.tmp
- <Имя диска съемного носителя>:\rcxd8f3.tmp
- <Имя диска съемного носителя>:\rcxd8c3.tmp
- <Имя диска съемного носителя>:\rcxd893.tmp
- <Имя диска съемного носителя>:\rcxd4e8.tmp
- <Имя диска съемного носителя>:\rcxd4e9.tmp
- <Имя диска съемного носителя>:\rcxca4a.tmp
- <Имя диска съемного носителя>:\rcxc518.tmp
- <Имя диска съемного носителя>:\rcxc47a.tmp
- <Имя диска съемного носителя>:\rcxc43a.tmp
- <Имя диска съемного носителя>:\toolbar.bmp.exe
- <Имя диска съемного носителя>:\rcxc3fb.tmp
- <Имя диска съемного носителя>:\rcxc3bc.tmp
- <Имя диска съемного носителя>:\rcxc37c.tmp
- <Имя диска съемного носителя>:\dashborder_96.bmp.exe
- <Имя диска съемного носителя>:\rcxc32d.tmp
- <Имя диска съемного носителя>:\rcxc2de.tmp
- <Имя диска съемного носителя>:\rcxc29f.tmp
- <Имя диска съемного носителя>:\rcxc4d8.tmp
- <Имя диска съемного носителя>:\dashborder_192.bmp.exe
- <Имя диска съемного носителя>:\rcxc23f.tmp
- <Имя диска съемного носителя>:\rcxc20f.tmp
- <Имя диска съемного носителя>:\archer.avi.exe
- <Имя диска съемного носителя>:\rcxc1e0.tmp
- <Имя диска съемного носителя>:\rcxc1bf.tmp
- <Имя диска съемного носителя>:\rcxc190.tmp
- <Имя диска съемного носителя>:\join.avi.exe
- <Имя диска съемного носителя>:\rcxc150.tmp
- <Имя диска съемного носителя>:\rcxc065.tmp
- <Имя диска съемного носителя>:\rcxc016.tmp
- <Имя диска съемного носителя>:\rcxc25f.tmp
- <Имя диска съемного носителя>:\rcxc724.tmp
- <Имя диска съемного носителя>:\rcxc9cb.tmp
- <Имя диска съемного носителя>:\rcxc567.tmp
- <Имя диска съемного носителя>:\applicantform_en.doc.exe
- <Имя диска съемного носителя>:\rcxc98c.tmp
- <Имя диска съемного носителя>:\rcxc93d.tmp
- <Имя диска съемного носителя>:\rcxc8ee.tmp
- <Имя диска съемного носителя>:\508softwareandos.doc.exe
- <Имя диска съемного носителя>:\rcxc89f.tmp
- <Имя диска съемного носителя>:\rcxc86f.tmp
- <Имя диска съемного носителя>:\rcxc820.tmp
- <Имя диска съемного носителя>:\testee.cer.exe
- <Имя диска съемного носителя>:\rcxc7b2.tmp
- <Имя диска съемного носителя>:\rcxca0b.tmp
- <Имя диска съемного носителя>:\rcxc773.tmp
- <Имя диска съемного носителя>:\contosoroot_1.cer.exe
- <Имя диска съемного носителя>:\rcxc6d5.tmp
- <Имя диска съемного носителя>:\rcxc686.tmp
- <Имя диска съемного носителя>:\rcxc675.tmp
- <Имя диска съемного носителя>:\testcertificate.cer.exe
- <Имя диска съемного носителя>:\rcxc674.tmp
- <Имя диска съемного носителя>:\rcxc625.tmp
- <Имя диска съемного носителя>:\rcxc5f5.tmp
- <Имя диска съемного носителя>:\dashborder_120.bmp.exe
- <Имя диска съемного носителя>:\rcxc5b6.tmp
- <Имя диска съемного носителя>:\tileimage.bmp.exe
- <Имя диска съемного носителя>:\rcx3135.tmp
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\documents\devenv.exe
- C:\users\public\documents\admtools.exe
- C:\users\public\documents\p2p.dll
- D:\install.log.exe
- D:\rcxb8e2.tmp
- D:\rcxb922.tmp
- C:\users\public\documents\p2pminimal.log
- D:\rcxbf98.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\public\documents\devenv.exe
- C:\users\public\documents\p2p.dll
Перемещает следующие файлы
- D:\rcxb8e2.tmp в D:\install.log.exe
- D:\rcxb922.tmp в D:\install.log.exe
- D:\rcxbf98.tmp в D:\install.log.exe
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'ap#.##er2profit.com':443
- 'ty###ev.0x01.cf':50
TCP
Другие
- 'ap#.##er2profit.com':443
UDP
- DNS ASK ap#.##er2profit.com
- DNS ASK ty###ev.0x01.cf
- DNS ASK microsoft.com
- 'localhost':54930
- 'localhost':64849
Другое
Создает и запускает на исполнение
- 'C:\users\public\documents\devenv.exe'
- 'C:\users\public\documents\admtools.exe'
