Техническая информация
Вредоносные функции
Изменяет следующие настройки браузера Windows Internet Explorer
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1400' = '00000003'
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1C00' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.sig
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.xml
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\system volume information\syscache.hve.log1
- D:\system volume information\syscache.hve
- D:\windows\system32\winevt\logs\system.evtx
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\windows\system32\winevt\logs\application.evtx
- D:\programdata\microsoft\officesoftwareprotectionplatform\cache\cache.dat
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
- D:\users\user\appdata\roaming\microsoft\office\recent\templates.lnk
- D:\users\user\appdata\roaming\microsoft\templates\~wrd0000.tmp
- D:\users\user\appdata\roaming\microsoft\templates\normal.dotm
- D:\users\user\appdata\roaming\microsoft\templates\~$normal.dotm
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive1.dat
- D:\users\user\appdata\roaming\microsoft\uproof\custom.dic
- D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\us5jat6w7us2lx881s5n.temp
- D:\users\user\ntuser.dat
- D:\users\user\appdata\roaming\microsoft\office\recent\index.dat
- D:\windows\system32\config\software.log1
- D:\windows\system32\config\software
- D:\windows\system32\config\system.log1
- D:\windows\system32\config\system
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite
- D:\users\user\appdata\roaming\microsoft\office\mso1033.acl
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\da05386b718d82b4f8c10ca4eff547b6865c3743
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\b9733f3de80e43d56dfe3dc1fe77a9ef8264df49
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\8221a41daafa532836d3e8eded1aac94d3955d16
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\026a91c419276cf4863cd88d801b264a6313a475
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\d02765262ff82856f6b6d6bfe3a3c0adfde1f378
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\8bef30daf9e2434eed4b7575bcd80c38a5a19d6a
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\f84b6a34b56cec15c1942664ffab6b65e0d2588f
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\d54da76e598693fed6a7f29197ea9cfafc48c386
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
- D:\helabkdb\~$mcwqay.doc
- D:\users\user\appdata\roaming\microsoft\office\recent\<Имя файла>.lnk
- D:\users\user\ntuser.dat.log1
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\sitesecurityservicestate.txt
Присваивает атрибут 'скрытый' для следующих файлов
- D:\users\user\appdata\roaming\microsoft\office\recent\index.dat
Удаляет следующие файлы
- D:\users\user\appdata\roaming\microsoft\office\recent\<Имя файла>.lnk
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.xml
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.sig
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
- D:\helabkdb\~$mcwqay.doc
- D:\users\user\appdata\roaming\microsoft\templates\~$normal.dotm
Перемещает следующие файлы
- D:\users\user\appdata\roaming\microsoft\templates\~wrd0000.tmp в D:\users\user\appdata\roaming\microsoft\templates\normal.dotm
- D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\us5jat6w7us2lx881s5n.temp в D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\969252ce11249fdd.customdestinations-ms
Подменяет следующие файлы
- D:\users\user\appdata\roaming\microsoft\office\recent\<Имя файла>.lnk
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.sig
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.xml
Сетевая активность
TCP
Другие
- '34.##0.144.191':443
- 'fi#####.###tings.services.mozilla.com':443
- 'fi###########ngs-attachments.cdn.mozilla.net':443
Другое
Ищет следующие окна
- ClassName: 'mspim_wnd32' WindowName: ''
- ClassName: 'MSOBALLOON' WindowName: ''
- ClassName: 'MsoHelp10' WindowName: ''
- ClassName: 'AgentAnim' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
