Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\roozenedowebinar.pptx
- <Имя диска съемного носителя>:\asaprojectcompetition.pptx
- <Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
- <Имя диска съемного носителя>:\waterresourcesag.pptx
- <Имя диска съемного носителя>:\middaugh_keynote.pptx
- <Имя диска съемного носителя>:\7790_preview.pdf
- <Имя диска съемного носителя>:\bc01.pdf
- <Имя диска съемного носителя>:\2015-02-worms-nanoparticle-toxicity.pdf
- <Имя диска съемного носителя>:\lom602.pdf
- <Имя диска съемного носителя>:\samieee_obiee_presentation.pptx
- <Имя диска съемного носителя>:\10thingscondoms.pdf
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\sdszfo.docx
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\lisp_success.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx
- <Имя диска съемного носителя>:\readme.html
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\runtimebroker.exe
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\3.jpeg
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\dialmap.bmp
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\kbnqiz.vpd
- C:\users\public\nlnbfyjr.vpd
- C:\users\public\ebajubhezi.vpd
- C:\users\public\kypkra.vpd
- C:\users\public\ntrhzf.vpd
- C:\users\public\aiwahxpgm.vpd
- C:\users\public\ptlfsfpmtrkc.vpd
- C:\users\public\vuxleg.vpd
- C:\users\public\thvgiumd.vpd
- C:\users\public\pqndgp.vpd
- C:\users\public\sdwpbrsb.vpd
- C:\users\public\qyfxxvtuzqg.vpd
- C:\users\public\nnrqbcvsn.vpd
- C:\users\public\rworiotahm.vpd
- C:\users\public\tootqxpsuwxw.vpd
- %HOMEPATH%\desktop\readme.html
- C:\users\public\jexqczgca.vpd
- C:\users\public\digehzjnf.vpd
- C:\users\public\wgthflsuvnca.vpd
Удаляет следующие файлы
- C:\users\public\kbnqiz.vpd.kblrtzc
- C:\users\public\nlnbfyjr.vpd
- C:\users\public\ebajubhezi.vpd
- C:\users\public\kypkra.vpd
- C:\users\public\ntrhzf.vpd
- C:\users\public\aiwahxpgm.vpd.kblrtzc
- C:\users\public\ptlfsfpmtrkc.vpd.kblrtzc
- C:\users\public\vuxleg.vpd.kblrtzc
- C:\users\public\pqndgp.vpd.kblrtzc
- C:\users\public\digehzjnf.vpd.kblrtzc
- C:\users\public\nnrqbcvsn.vpd.kblrtzc
- C:\users\public\qyfxxvtuzqg.vpd.kblrtzc
- C:\users\public\sdwpbrsb.vpd.kblrtzc
- C:\users\public\rworiotahm.vpd.kblrtzc
- C:\users\public\tootqxpsuwxw.vpd.kblrtzc
- C:\users\public\jexqczgca.vpd.kblrtzc
- C:\users\public\thvgiumd.vpd
- C:\users\public\wgthflsuvnca.vpd
Перемещает следующие файлы
- C:\users\public\kbnqiz.vpd в C:\users\public\kbnqiz.vpd.kblrtzc
- C:\users\public\jexqczgca.vpd в C:\users\public\jexqczgca.vpd.kblrtzc
- C:\users\public\tootqxpsuwxw.vpd в C:\users\public\tootqxpsuwxw.vpd.kblrtzc
- C:\users\public\rworiotahm.vpd в C:\users\public\rworiotahm.vpd.kblrtzc
- C:\users\public\sdwpbrsb.vpd в C:\users\public\sdwpbrsb.vpd.kblrtzc
- C:\users\public\qyfxxvtuzqg.vpd в C:\users\public\qyfxxvtuzqg.vpd.kblrtzc
- C:\users\public\nnrqbcvsn.vpd в C:\users\public\nnrqbcvsn.vpd.kblrtzc
- C:\users\public\digehzjnf.vpd в C:\users\public\digehzjnf.vpd.kblrtzc
- C:\users\public\pqndgp.vpd в C:\users\public\pqndgp.vpd.kblrtzc
- C:\users\public\vuxleg.vpd в C:\users\public\vuxleg.vpd.kblrtzc
- C:\users\public\ptlfsfpmtrkc.vpd в C:\users\public\ptlfsfpmtrkc.vpd.kblrtzc
- C:\users\public\aiwahxpgm.vpd в C:\users\public\aiwahxpgm.vpd.kblrtzc
Изменяет следующие файлы
- %HOMEPATH%\desktop\508softwareandos.doc
- <Имя диска съемного носителя>:\middaugh_keynote.pptx
- <Имя диска съемного носителя>:\7790_preview.pdf
- <Имя диска съемного носителя>:\bc01.pdf
- <Имя диска съемного носителя>:\2015-02-worms-nanoparticle-toxicity.pdf
- <Имя диска съемного носителя>:\lom602.pdf
- <Имя диска съемного носителя>:\10thingscondoms.pdf
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\sdszfo.docx
- <Имя диска съемного носителя>:\waterresourcesag.pptx
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\lisp_success.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\applicantform_en.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\applicantform_en.doc
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
Изменяет множество файлов.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '<SYSTEM32>\searchprotocolhost.exe' Global\UsGthrFltPipeMssGthrPipe3_ Global\UsGthrCtrlFltPipeMssGthrPipe3 1 -2147483646 "Software\Microsoft\Windows Search" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT; MS Search 4.0 Robot)" "%...
- '<SYSTEM32>\searchfilterhost.exe' 0 768 772 780 8192 776
- '<SYSTEM32>\cmd.exe' fodhelper.exe
- '<SYSTEM32>\fodhelper.exe'
- '<SYSTEM32>\wscript.exe' /B /E:VBScript.Encode ../../Users/Public/aidnndxhmts.vpd
- '<SYSTEM32>\svchost.exe' -k wsappx -p
