Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\svhost
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\trivial-merge.htm
- %HOMEPATH%\desktop\tree_view.htm
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\iisstart.htm
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\trivial-merge.html
- %HOMEPATH%\desktop\weeklysheet1215.doc
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\svhost.exe
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\access.en-us\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\!-recovery_instructions-!.html
- C:\users\default\appdata\roaming\microsoft\internet explorer\quick launch\!-recovery_instructions-!.html
- C:\users\default\appdata\roaming\microsoft\windows\sendto\!-recovery_instructions-!.html
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\!-recovery_instructions-!.html
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\!-recovery_instructions-!.html
- %HOMEPATH%\contacts\!-recovery_instructions-!.html
- %HOMEPATH%\desktop\!-recovery_instructions-!.html
- %HOMEPATH%\favorites\links\!-recovery_instructions-!.html
- %HOMEPATH%\favorites\links for united states\!-recovery_instructions-!.html
- %HOMEPATH%\favorites\microsoft websites\!-recovery_instructions-!.html
- %HOMEPATH%\favorites\msn websites\!-recovery_instructions-!.html
- %HOMEPATH%\favorites\windows live\!-recovery_instructions-!.html
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\maintenance\!-recovery_instructions-!.html
- C:\users\default\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-00a1-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- C:\kms\!-recovery_instructions-!.html
- D:\!-recovery_instructions-!.html
- z:\boot\bcd.log1
- z:\boot\!-recovery_instructions-!.html
- z:\boot\bcd.log2
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- z:\boot\bootstat.dat
- z:\bootsect.bak
- z:\$recycle.bin\s-1-5-21-1238866942-1249195528-555854008-1000\desktop.ini
- z:\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.es\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.fr\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\!-recovery_instructions-!.html
- %HOMEPATH%\links\!-recovery_instructions-!.html
- %HOMEPATH%\searches\!-recovery_instructions-!.html
Перемещает следующие файлы
- z:\boot\bcd.log1 в z:\boot\bcd.log1.cipher4
- z:\boot\bcd.log2 в z:\boot\bcd.log2.cipher4
- z:\boot\bootstat.dat в z:\boot\bootstat.dat.cipher4
- z:\bootsect.bak в z:\bootsect.bak.cipher4
Изменяет следующие файлы
- C:\kms\kms_vl_all_aio.cmd
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\outlookmui.xml
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\outlookmui.msi
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\outlklr.cab
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\publr.cab
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\publishermui.xml
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\publishermui.msi
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\pptlr.cab
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\powerpointmui.xml
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\powerpointmui.msi
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excelmui.xml
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excelmui.msi
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excellr.cab
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\propsww2.cab
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\propsww.cab
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.xml
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.msi
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\pkeyconfig-office.xrm-ms
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\owow32ww.cab
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.xml
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.msi
- C:\kms\kms_vl_all_aio_debug.log
- D:\install.log
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\wordlr.cab
Изменяет множество файлов.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '<LOCALNET>.24.1':445
- '<LOCALNET>.24.1':139
Другое
Создает и запускает на исполнение
- '%APPDATA%\svhost.exe'
- '%APPDATA%\svhost.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\wbem\wmic.exe' SHADOWCOPY /nointeractive
- '<SYSTEM32>\taskeng.exe' {8BBA8FA6-0F2F-41F4-B35A-7B99025D2977} S-1-5-21-1238866942-1249195528-555854008-1000:suolcw\user:Interactive:[1]
