Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\applicantform_en.doc.exe
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\pmd.cer.exe
- <Имя диска съемного носителя>:\lisp_success.doc
- <Имя диска съемного носителя>:\default.bmp.exe
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- <Имя диска съемного носителя>:\contosoroot_1.cer.exe
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.exe
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\tcm851ax32.exe
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\ovp25012015.doc.exe
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\testee.cer.exe
- <Имя диска съемного носителя>:\sdszfo.docx
- <Имя диска съемного носителя>:\weeklysheet1215.doc.exe
- <Имя диска съемного носителя>:\february_catalogue__2015.doc.exe
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.exe
- <Имя диска съемного носителя>:\wrar520.exe
- <Имя диска съемного носителя>:\dashborder_120.bmp.exe
- <Имя диска съемного носителя>:\cveuropeo.doc.exe
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer.exe
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\npfbwcpgbh\oefystwwwy.exe
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\join.avi.exe
- <Имя диска съемного носителя>:\archer.avi.exe
- <Имя диска съемного носителя>:\split.avi.exe
- <Имя диска съемного носителя>:\correct.avi.exe
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\000814251_video_01.avi.exe
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\tileimage.bmp.exe
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\toolbar.bmp.exe
- <Имя диска съемного носителя>:\calc.exe
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- applaunch.exe
Изменения в файловой системе
Создает следующие файлы
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\da05386b718d82b4f8c10ca4eff547b6865c3743
- D:\programdata\mbdavmpoag\dmibousapy
- D:\programdata\mbdavmpoag\weeklysheet1215.doc.ico
- D:\users\user\appdata\local\temp\rcxd2f7.tmp
- D:\programdata\mbdavmpoag\ipigldrhmf
- D:\users\user\appdata\local\temp\rcxd632.tmp
- D:\programdata\mbdavmpoag\lisp_success.doc.ico
- D:\users\user\appdata\local\temp\~temp1165795.tmp
- D:\windows\system32\winevt\logs\application.evtx
- D:\programdata\mbdavmpoag\uep_form_786_bulletin_1726i602.doc.ico
- D:\programdata\mbdavmpoag\hieipisblv
- D:\users\user\appdata\local\temp\~temp1170693.tmp
- D:\users\user\appdata\local\temp\~temp1170194.tmp
- D:\users\user\appdata\local\temp\rcxdd53.tmp
- D:\users\user\appdata\local\temp\~temp1170818.tmp
- D:\users\user\appdata\local\temp\rcxdd92.tmp
- D:\programdata\mbdavmpoag\february_catalogue__2015.doc.ico
- D:\programdata\mbdavmpoag\svwvtewekq
- D:\windows\system32\config\system
- D:\users\user\appdata\local\temp\rcxd0d5.tmp
- D:\users\user\appdata\local\temp\~temp1167059.tmp
- D:\windows\system32\config\system.log1
- D:\programdata\mbdavmpoag\wuoosehjdb
- D:\programdata\mbdavmpoag\testee.cer.ico
- D:\programdata\mbdavmpoag\jltckjvwpn
- D:\programdata\mbdavmpoag\applicantform_en.doc.ico
- D:\programdata\mbdavmpoag\pxbwfsumxy
- D:\programdata\mbdavmpoag\ovp25012015.doc.ico
- D:\programdata\mbdavmpoag\glidescope_review_rev_010.docx.ico
- D:\programdata\mbdavmpoag\pdaenpydko
- D:\programdata\mbdavmpoag\contosoroot_1.cer.ico
- D:\programdata\mbdavmpoag\cveuropeo.doc.ico
- D:\users\user\appdata\local\temp\~temp1165889.tmp
- D:\programdata\mbdavmpoag\vbjihwftvu
- D:\users\user\appdata\local\temp\rcxca6f.tmp
- D:\users\user\appdata\local\temp\~temp1165998.tmp
- D:\users\user\appdata\local\temp\rcxcacd.tmp
- D:\users\user\appdata\local\temp\~temp1166029.tmp
- D:\programdata\mbdavmpoag\jcqjajrdbu
- D:\users\user\appdata\local\temp\rcxcbd6.tmp
- D:\users\user\appdata\local\temp\~temp1165873.tmp
- D:\programdata\mbdavmpoag\sdksampleprivdeveloper.cer.ico
- D:\programdata\mbdavmpoag\igmqhfbcxj
- D:\programdata\mbdavmpoag\hknsduckur
- D:\users\user\appdata\local\temp\rcxfa93.tmp
- D:\users\user\appdata\local\temp\~temp1178306.tmp
- D:\users\user\appdata\local\temp\rcxfb10.tmp
- D:\users\user\appdata\local\temp\~temp1178415.tmp
- D:\users\user\appdata\local\temp\rcxfbdb.tmp
- D:\users\user\appdata\local\temp\rcxfbdc.tmp
- D:\users\user\appdata\local\temp\~temp1179351.tmp
- D:\users\user\appdata\local\temp\rcxf8bf.tmp
- D:\users\user\appdata\local\temp\~temp1179336.tmp
- D:\users\user\appdata\local\temp\rcxffb3.tmp
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\c46e7b0f942663a1edc8d9d6d7869173_6043fc604a395e1485af7ac16d16b7ce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\c46e7b0f942663a1edc8d9d6d7869173_6043fc604a395e1485af7ac16d16b7ce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\ea618097e393409afa316f0f87e2c202_1e65fd33f74047223af4d58cbfd34bce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\ea618097e393409afa316f0f87e2c202_1e65fd33f74047223af4d58cbfd34bce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\b3bb9c1ba2d19e090ae305b2683903a0_b89a63ac6877bd1ed812438ce82c3eb8
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\b3bb9c1ba2d19e090ae305b2683903a0_b89a63ac6877bd1ed812438ce82c3eb8
- D:\users\user\appdata\local\temp\~temp1178150.tmp
- D:\users\user\appdata\local\temp\~temp1178259.tmp
- D:\users\user\appdata\local\temp\rcxf8cf.tmp
- D:\users\user\appdata\local\temp\~temp1177745.tmp
- D:\programdata\mbdavmpoag\wfnbhbuvan
- D:\programdata\mbdavmpoag\file_p_00000000_1371597592.docx.ico
- D:\programdata\mbdavmpoag\umloklnpnt
- D:\users\user\appdata\local\temp\rcxeb29.tmp
- D:\users\user\appdata\local\temp\~temp1174281.tmp
- D:\programdata\mbdavmpoag\thlps_keeper_mayer_1965.docx.ico
- D:\programdata\mbdavmpoag\abtcqfqykw
- D:\users\user\appdata\local\temp\rcxe188.tmp
- D:\programdata\mbdavmpoag\issi2013_template_for_posters.docx.ico
- D:\users\user\appdata\local\temp\~temp1170990.tmp
- D:\users\user\appdata\local\temp\rcxede7.tmp
- D:\users\user\appdata\local\temp\rcxf2a7.tmp
- D:\programdata\mbdavmpoag\sdszfo.docx.ico
- D:\programdata\mbdavmpoag\idmheoakbo
- D:\users\user\appdata\local\temp\~temp1176278.tmp
- D:\users\user\appdata\local\temp\rcxf621.tmp
- D:\users\user\appdata\local\temp\~temp1177713.tmp
- D:\users\user\appdata\local\temp\~temp1175717.tmp
- D:\programdata\mbdavmpoag\adhd_and_obesity.docx.ico
- D:\programdata\mbdavmpoag\ealuigbkkh
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\programdata\mbdavmpoag\gkrniyseob
- D:\programdata\mbdavmpoag\sdkfailsafeemulator.cer.ico
- D:\windows\system32\config\software
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\users\user\ntuser.dat.log1
- D:\users\user\ntuser.dat
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\6bada8974a10c4bd62cc921d13e43b18_78d977680f0a854594ceee125bc2e56e
- D:\users\user\appdata\local\temp\cab94fe.tmp
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\94308059b57b3142e455b38a6eb92015
- D:\users\user\appdata\local\temp\cab96d4.tmp
- D:\users\user\appdata\local\temp\tar96d5.tmp
- D:\users\user\appdata\local\temp\cab9743.tmp
- D:\users\user\appdata\local\temp\tar9744.tmp
- D:\users\user\appdata\local\temp\cab988d.tmp
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
- D:\users\user\appdata\local\temp\mz_etilqs_fznlcu7c6uwgric
- D:\windows\system32\config\software.log1
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\security_state\data.safe.bin
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\9bcb0efbbfb5cb5c4bae2f361169e07b5604f4d8
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\b9733f3de80e43d56dfe3dc1fe77a9ef8264df49
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\7150f4ebaff6a9b3313a4538c93d17f0cc4d4995
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\7e1bdf2c04b6bb8e6516a288be95b19b21d7828a
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\1c071bef2bb8dc67ce789498a903116ea0c85f0a
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\cf675741c1efec8a3183da1a78119c33fc10872a
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\8d14b7d0efc523b59e3933e14fe44fb72beca8df
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\8221a41daafa532836d3e8eded1aac94d3955d16
- D:\users\user\appdata\local\temp\tar988e.tmp
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\026a91c419276cf4863cd88d801b264a6313a475
- D:\users\user\appdata\local\temp\tar94ff.tmp
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\8bef30daf9e2434eed4b7575bcd80c38a5a19d6a
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\f84b6a34b56cec15c1942664ffab6b65e0d2588f
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\d54da76e598693fed6a7f29197ea9cfafc48c386
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\74faa831a5ad1348de267780d4c0c2f10cbbec39
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\54dc5dc926acfd0f0401949db5cbca5383cb6b77
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\3abe6035282cf9d17dcb0d733614aca8c2c8cf59
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\db022c3d5e65699f640d8dea20ee25904d318c2e
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\d02765262ff82856f6b6d6bfe3a3c0adfde1f378
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\8bf87bb7e13934f2648153f6f818cd2f93455f69
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\4b90ddaeeeea60534fa3d5f56046728fba5f4989
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\6bada8974a10c4bd62cc921d13e43b18_78d977680f0a854594ceee125bc2e56e
- D:\users\user\appdata\local\temp\rcxac07.tmp
- D:\users\user\appdata\local\temp\rcxad5e.tmp
- D:\programdata\mbdavmpoag\toolbar.bmp.ico
- D:\programdata\mbdavmpoag\dkxeesgmow
- D:\users\user\appdata\local\temp\~temp1159508.tmp
- D:\programdata\mbdavmpoag\tileimage.bmp.ico
- D:\programdata\mbdavmpoag\prubocrilh
- D:\users\user\appdata\local\temp\rcxabc9.tmp
- D:\users\user\appdata\local\temp\cab9aa1.tmp
- D:\users\user\appdata\local\temp\rcxac74.tmp
- D:\users\user\appdata\local\temp\rcxb22f.tmp
- D:\users\user\appdata\local\temp\~temp1160491.tmp
- D:\programdata\mbdavmpoag\default.bmp.ico
- D:\programdata\mbdavmpoag\lmegyewsxe
- D:\users\user\appdata\local\temp\rcxb598.tmp
- D:\programdata\mbdavmpoag\pmd.cer.ico
- D:\programdata\mbdavmpoag\symioedymu
- D:\programdata\mbdavmpoag\dashborder_120.bmp.ico
- D:\programdata\mbdavmpoag\kxngtllsvn
- D:\windows\system32\winevt\logs\security.evtx
- D:\users\user\appdata\local\temp\rcxffb2.tmp
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive1.dat
- D:\users\user\appdata\local\temp\~temp1157324.tmp
- D:\users\user\appdata\local\microsoft\windows\<INETFILES>\content.ie5\0y9o17dr\su0zrmjj[1].txt
- D:\programdata\mbdavmpoag\mbdavmpoag.ico
- D:\programdata\mbdavmpoag\prlxoeduyq
- D:\programdata\mbdavmpoag\000814251_video_01.avi.ico
- D:\programdata\mbdavmpoag\xmkgkotbiw
- D:\programdata\mbdavmpoag\correct.avi.ico
- D:\programdata\mbdavmpoag\plvxyfhwxo
- D:\users\user\appdata\local\temp\~temp1157870.tmp
- D:\users\user\appdata\local\temp\~temp1158057.tmp
- D:\programdata\mbdavmpoag\join.avi.ico
- D:\programdata\mbdavmpoag\split.avi.ico
- D:\programdata\mbdavmpoag\yfuhtwgdhu
- D:\system volume information\syscache.hve.log1
- D:\programdata\mbdavmpoag\archer.avi.ico
- D:\system volume information\syscache.hve
- D:\programdata\mbdavmpoag\orpamffhkh
- D:\users\user\appdata\local\temp\~temp1157277.tmp
- D:\users\user\appdata\local\temp\tar9aa2.tmp
- D:\windows\system32\winevt\logs\system.evtx
- D:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\idveenpwuftx.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\npfbwcpgbh\oefystwwwy.exe
- D:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\idveenpwuftx.exe
Удаляет следующие файлы
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
- D:\users\user\appdata\local\temp\cab94fe.tmp
- D:\users\user\appdata\local\temp\tar94ff.tmp
- D:\users\user\appdata\local\temp\cab96d4.tmp
- D:\users\user\appdata\local\temp\tar96d5.tmp
- D:\users\user\appdata\local\temp\cab9743.tmp
- D:\users\user\appdata\local\temp\tar9744.tmp
- D:\users\user\appdata\local\temp\cab988d.tmp
- D:\users\user\appdata\local\temp\tar988e.tmp
- D:\users\user\appdata\local\temp\cab9aa1.tmp
- D:\users\user\appdata\local\temp\tar9aa2.tmp
- D:\users\user\appdata\local\microsoft\windows\<INETFILES>\content.ie5\0y9o17dr\su0zrmjj[1].txt
Перемещает следующие файлы
- D:\users\user\appdata\local\temp\rcxabc9.tmp в D:\users\user\appdata\local\temp\~temp1157324.tmp
- D:\users\user\appdata\local\temp\rcxfbdc.tmp в D:\users\user\appdata\local\temp\~temp1178415.tmp
- D:\users\user\appdata\local\temp\rcxfbdb.tmp в D:\users\user\appdata\local\temp\~temp1178259.tmp
- D:\users\user\appdata\local\temp\rcxfb10.tmp в D:\users\user\appdata\local\temp\~temp1178306.tmp
- D:\users\user\appdata\local\temp\rcxfa93.tmp в D:\users\user\appdata\local\temp\~temp1178150.tmp
- D:\users\user\appdata\local\temp\rcxf8cf.tmp в D:\users\user\appdata\local\temp\~temp1177745.tmp
- D:\users\user\appdata\local\temp\rcxf8bf.tmp в D:\users\user\appdata\local\temp\~temp1177713.tmp
- D:\users\user\appdata\local\temp\rcxf621.tmp в D:\users\user\appdata\local\temp\~temp1176278.tmp
- D:\users\user\appdata\local\temp\rcxf2a7.tmp в D:\users\user\appdata\local\temp\~temp1175717.tmp
- D:\users\user\appdata\local\temp\rcxede7.tmp в D:\users\user\appdata\local\temp\~temp1174281.tmp
- D:\users\user\appdata\local\temp\rcxeb29.tmp в D:\users\user\appdata\local\temp\~temp1170990.tmp
- D:\users\user\appdata\local\temp\rcxe188.tmp в D:\users\user\appdata\local\temp\~temp1170818.tmp
- D:\users\user\appdata\local\temp\rcxffb2.tmp в D:\users\user\appdata\local\temp\~temp1179336.tmp
- D:\users\user\appdata\local\temp\rcxdd92.tmp в D:\users\user\appdata\local\temp\~temp1170194.tmp
- D:\users\user\appdata\local\temp\rcxd632.tmp в D:\users\user\appdata\local\temp\~temp1167059.tmp
- D:\users\user\appdata\local\temp\rcxd2f7.tmp в D:\users\user\appdata\local\temp\~temp1166029.tmp
- D:\users\user\appdata\local\temp\rcxd0d5.tmp в D:\users\user\appdata\local\temp\~temp1165998.tmp
- D:\users\user\appdata\local\temp\rcxcbd6.tmp в D:\users\user\appdata\local\temp\~temp1165889.tmp
- D:\users\user\appdata\local\temp\rcxcacd.tmp в D:\users\user\appdata\local\temp\~temp1165795.tmp
- D:\users\user\appdata\local\temp\rcxca6f.tmp в D:\users\user\appdata\local\temp\~temp1165873.tmp
- D:\users\user\appdata\local\temp\rcxb598.tmp в D:\users\user\appdata\local\temp\~temp1160491.tmp
- D:\users\user\appdata\local\temp\rcxb22f.tmp в D:\users\user\appdata\local\temp\~temp1159508.tmp
- D:\users\user\appdata\local\temp\rcxad5e.tmp в D:\users\user\appdata\local\temp\~temp1158057.tmp
- D:\users\user\appdata\local\temp\rcxac74.tmp в D:\users\user\appdata\local\temp\~temp1157277.tmp
- D:\users\user\appdata\local\temp\rcxac07.tmp в D:\users\user\appdata\local\temp\~temp1157870.tmp
- D:\users\user\appdata\local\temp\rcxdd53.tmp в D:\users\user\appdata\local\temp\~temp1170693.tmp
- D:\users\user\appdata\local\temp\rcxffb3.tmp в D:\users\user\appdata\local\temp\~temp1179351.tmp
Подменяет следующие файлы
- D:\users\user\appdata\local\microsoft\windows\<INETFILES>\content.ie5\0y9o17dr\su0zrmjj[1].txt
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'za#####1.duckdns.org':6869
- 'pa###bin.com':443
- '45.##.186.52':6869
TCP
Другие
- 'localhost':49158
- '34.##1.73.144':443
- 'pa###bin.com':443
- '34.##0.144.191':443
- '35.##1.9.150':443
UDP
- DNS ASK za#####1.duckdns.org
- DNS ASK pa###bin.com
Другое
Ищет следующие окна
- ClassName: 'SystemTray_Main' WindowName: ''
