Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'fgBivkxK' = '%LOCALAPPDATA%\Programs\BKnEJiHs.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\fgbivkxk.lnk
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\tree_view.htm
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\tunpersonalca1.pem
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\trivial-merge.html
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\2015-02-worms-nanoparticle-toxicity.pdf
- <Имя диска съемного носителя>:\sdszfo.docx
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\13.jpeg
- <Имя диска съемного носителя>:\pushkin.jpg
- <Имя диска съемного носителя>:\about.htm
- <Имя диска съемного носителя>:\3.jpeg
- <Имя диска съемного носителя>:\210252809.jpg
- <Имя диска съемного носителя>:\pushkin.jpeg
- <Имя диска съемного носителя>:\irgeek.pem
- <Имя диска съемного носителя>:\1189.jpeg
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
- <Имя диска съемного носителя>:\parnas_01.jpeg
- <Имя диска съемного носителя>:\2.jpg
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\contractualdeadlines.zip
- <Имя диска съемного носителя>:\block.png
- <Имя диска съемного носителя>:\hhhlcert.pem
- <Имя диска съемного носителя>:\ck.pem
- <Имя диска съемного носителя>:\dag2_panel1_320_ref.mov
- <Имя диска съемного носителя>:\about.html
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\ituneshelpunavailable.html
- <Имя диска съемного носителя>:\advice_process.htm
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\alert.html
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\browse.htm
- <Имя диска съемного носителя>:\excel_example.zip
- <Имя диска съемного носителя>:\spib_pima.pdf
- <Имя диска съемного носителя>:\tree_view.html
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\browse.html
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\ck_ugo.pem
- <Имя диска съемного носителя>:\dial.bmp
- <Имя диска съемного носителя>:\ituneshelpunavailable.htm
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx
- <Имя диска съемного носителя>:\delongcacert.pem
- <Имя диска съемного носителя>:\background.png
- <Имя диска съемного носителя>:\iisstart.htm
- <Имя диска съемного носителя>:\iisstart.html
- <Имя диска съемного носителя>:\breakpoint.png
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\alert.htm
- %HOMEPATH%\desktop\garden.htm
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\trivial-merge.htm
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\howto-index.html
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\correct.avi
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\alert.html
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer
- %HOMEPATH%\desktop\february_catalogue__2015.doc
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\programs\bknejihs.exe
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-1238866942-1249195528-555854008-1000\14d26bb548df3e2785adc7d69b3c1c5c_d4602615-9d50-4880-be41-678935e93eaa
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-1238866942-1249195528-555854008-1000\61afa557a46a7b1d1c9ccf695b4cf55b_d4602615-9d50-4880-be41-678935e93eaa
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\start menu\programs\startup\fgbivkxk.lnk
Удаляет следующие файлы
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-1238866942-1249195528-555854008-1000\14d26bb548df3e2785adc7d69b3c1c5c_d4602615-9d50-4880-be41-678935e93eaa
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-1238866942-1249195528-555854008-1000\61afa557a46a7b1d1c9ccf695b4cf55b_d4602615-9d50-4880-be41-678935e93eaa
Изменяет следующие файлы
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-1238866942-1249195528-555854008-1000\f58155b4b1d5a524ca0261c3ee99fb50_d4602615-9d50-4880-be41-678935e93eaa
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\propsww2.cab
- %LOCALAPPDATA%\Microsoft\Feeds\Microsoft Feeds~\MSNBC News~.feed-ms
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\owow32ww.cab
- %LOCALAPPDATA%\Microsoft\Feeds\Feeds for United States~\USA~dgov Updates~c News and Features~.feed-ms
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.msi
- %LOCALAPPDATA%\Microsoft\Feeds\Microsoft Feeds~\Microsoft at Work~.feed-ms
- %LOCALAPPDATA%\Microsoft\Feeds\Microsoft Feeds~\Microsoft at Home~.feed-ms
- %LOCALAPPDATA%\microsoft\feeds\feedsstore.feedsdb-ms
- %LOCALAPPDATA%\Microsoft\Feeds\Feeds for United States~\Popular Government Questions from USA~dgov~.feed-ms
- <Имя диска съемного носителя>:\indogerman2010.pptx
- <Имя диска съемного носителя>:\samieee_obiee_presentation.pptx
- <Имя диска съемного носителя>:\gruenspecht_02172016.pptx
- <Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
- <Имя диска съемного носителя>:\waterresourcesag.pptx
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
- D:\system volume information\tracking.log
- C:\kms\kms_vl_all_aio_debug.log
- D:\install.log
- C:\kms\kms_vl_all_aio.cmd
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\correct.avi
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\alert.html
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\alert.htm
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.msi
- %LOCALAPPDATA%\microsoft\media player\sync playlists\en-us\0003b056\02_music_added_in_the_last_month.wpl
Изменяет множество файлов.
Подменяет следующие файлы
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-1238866942-1249195528-555854008-1000\14d26bb548df3e2785adc7d69b3c1c5c_d4602615-9d50-4880-be41-678935e93eaa
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\vssadmin.exe' delete shadows /all /Quiet' (со скрытым окном)
