Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\desktop.ini
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\ituneshelpunavailable.html
- %APPDATA%\mozilla\firefox\profiles.ini
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\garden.htm
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\adadsi.html
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\iisstart.htm
- %HOMEPATH%\desktop\trivial-merge.htm
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\alert.html
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %APPDATA%\thunderbird\profiles.ini
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\liwnf5qjy2l
- %HOMEPATH%\1ff1f868c3374167bb6be9fd55b6d389
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\windows mail\stationery\stars.htm
- %LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\urlcache.bin
- %LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\search.crx
- %LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\urlcache-current.bin
- %LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\scriptcache.bin
- %LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\gmail.crx
- %LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\scriptcache-current.bin
- %LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\external_extensions.json
- %LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\drive.crx
- %LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\scriptcache-child.bin
- %LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\scriptcache-child-current.bin
- %LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\docs.crx
- %LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\offlinecache\index.sqlite
- %LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cache2\entries\a0a0f4e954265c3d7b4b176a57c2f52a8d15aa8c
- %LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cache2\entries\2b8fb3a7c1e8990ce64886d66718692d2b2ed2bc
- %LOCALAPPDATA%\microsoft\windows sidebar\settings.ini
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.xml
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.dtd
- %LOCALAPPDATA%\microsoft\windows mail\windowsmail.pat
- %LOCALAPPDATA%\microsoft\windows mail\stationery\wrinkled_paper.gif
- %LOCALAPPDATA%\google\chrome\application\42.0.2311.135\chrome_200_percent.pak
- %LOCALAPPDATA%\microsoft\windows mail\stationery\white_chocolate.jpg
- %LOCALAPPDATA%\google\chrome\application\42.0.2311.135\chrome_100_percent.pak
- %LOCALAPPDATA%\microsoft\windows mail\stationery\to_do_list.emf
- %LOCALAPPDATA%\microsoft\windows mail\stationery\tiki.gif
- %LOCALAPPDATA%\microsoft\windows mail\stationery\tanspecks.jpg
- %LOCALAPPDATA%\microsoft\windows mail\stationery\stucco.gif
- %LOCALAPPDATA%\microsoft\windows mail\stationery\stars.jpg
- %LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\youtube.crx
- %LOCALAPPDATA%\google\chrome\application\42.0.2311.135\extensions\external_extensions.json
Изменяет множество файлов.
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Feeds\{5588ACFD-6436-411B-A5CE-666AE6A92D3D}~\WebSlices~\Web Slice Gallery~.feed-ms
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '15#.92.1.46':5050
TCP
Запросы HTTP GET
- http://15#.##.1.46:5050/ping via 15#.92.1.46
Запросы HTTP POST
- http://15#.##.1.46:5050/login via 15#.92.1.46
- http://15#.##.1.46:5050/upload via 15#.92.1.46
- http://15#.##.1.46:5050/stop via 15#.92.1.46
- http://15#.##.1.46:5050/put_aes_key via 15#.92.1.46
Другое
Запускает на исполнение
- '<SYSTEM32>\winlogon.exe'
