Техническая информация
Вредоносные функции
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\1189.jpeg
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\parnas_01.jpeg
- %HOMEPATH%\desktop\ituneshelpunavailable.html
- %HOMEPATH%\desktop\iisstart.html
- %HOMEPATH%\desktop\iisstart.htm
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\4f0bf7ff71f28.jpeg
- %HOMEPATH%\desktop\2.jpeg
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\tree_view.html
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\$recycle.bin.{645ff040-5081-101b-9f08-00aa002f954e}\fcihmqjt.exe
- %ALLUSERSPROFILE%\$recycle.bin.{645ff040-5081-101b-9f08-00aa002f954e}\save.key
- z:\$recycle.bin\s-1-5-21-1238866942-1249195528-555854008-1000\desktop.ini
Удаляет следующие файлы
- %ALLUSERSPROFILE%\$recycle.bin.{645ff040-5081-101b-9f08-00aa002f954e}\fcihmqjt.exe
Изменяет следующие файлы
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\boot.sdi
- %HOMEPATH%\favorites\msn websites\msn.url
- %HOMEPATH%\favorites\msn websites\msn entertainment.url
- %HOMEPATH%\favorites\msn websites\msn money.url
- %HOMEPATH%\favorites\windows live\windows live mail.url
- %HOMEPATH%\favorites\windows live\windows live spaces.url
- %HOMEPATH%\favorites\msn websites\msn autos.url
- %HOMEPATH%\favorites\microsoft websites\microsoft store.url
- %HOMEPATH%\favorites\windows live\get windows live.url
- %HOMEPATH%\favorites\windows live\windows live gallery.url
- %HOMEPATH%\favorites\microsoft websites\microsoft at work.url
- %HOMEPATH%\favorites\microsoft websites\microsoft at home.url
- %HOMEPATH%\favorites\microsoft websites\ie site on microsoft.com.url
- %HOMEPATH%\favorites\links for united states\gobiernousa.gov.url
- %HOMEPATH%\favorites\microsoft websites\ie add-on site.url
- %HOMEPATH%\favorites\links for united states\usa.gov.url
- %HOMEPATH%\favorites\links\web slice gallery.url
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\contacts\user.contact
- %HOMEPATH%\desktop\4f0bf7ff71f28.jpeg
- %HOMEPATH%\desktop\2.jpeg
- %HOMEPATH%\desktop\1189.jpeg
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winre.wim
- %HOMEPATH%\favorites\msn websites\msn sports.url
- %HOMEPATH%\favorites\msn websites\msnbc news.url
Самоперемещается
- из <Полный путь к файлу> в <Полный путь к файлу>.[4feecf74-985a896b].zip
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'ip###ger.org':80
- 'ip###ger.org':443
TCP
Запросы HTTP GET
- http://ip###ger.org/1fxJB4.torrent
Другие
- 'ip###ger.org':443
UDP
- DNS ASK ip###ger.org
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\$recycle.bin.{645ff040-5081-101b-9f08-00aa002f954e}\fcihmqjt.exe'
- '%WINDIR%\syswow64\cmd.exe' /c for /l %i in (1,1,1000) do (ping -n 2 localhost & del "%ALLUSERSPROFILE%\$RECYCLE.BIN.{645FF040-5081-101B-9F08-00AA002F954E}\fcihmqjt.exe" & if not exist "%ALLUSERSPROFILE%\$RECYCLE.BIN.{645...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c for /l %i in (1,1,1000) do (ping -n 2 localhost & del "%ALLUSERSPROFILE%\$RECYCLE.BIN.{645FF040-5081-101B-9F08-00AA002F954E}\fcihmqjt.exe" & if not exist "%ALLUSERSPROFILE%\$RECYCLE.BIN.{645...
- '%WINDIR%\syswow64\ping.exe' -n 2 localhost
