Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'inetserv' = '<SYSTEM32>\inetserv.exe'
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\inetserv.exe
- %WINDIR%\syswow64\wdfmgmt.com
- %WINDIR%\syswow64\terminator
- %WINDIR%\syswow64\regfile
Изменяет следующие файлы
- %ProgramFiles%\microsoft office\office14\1033\prottpln.doc
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %APPDATA%\thunderbird\profiles\npsdfqy3.default-release\key4.db
- %APPDATA%\thunderbird\profiles\npsdfqy3.default-release\cert9.db
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\key4.db
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\cert9.db
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\key4.db
- %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\cert9.db
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_sr.db
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_idx.db
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_96.db
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_32.db
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_256.db
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_1024.db
- %LOCALAPPDATA%\google\chrome\user data\default\databases\databases.db
- %ALLUSERSPROFILE%\microsoft\windows\caches\{ddf571f2-be98-426d-8288-1a9a39c3fda2}.2.ver0x0000000000000002.db
- %ALLUSERSPROFILE%\microsoft\windows\caches\{7058fba7-4345-4f87-a783-212c3dc6f95f}.2.ver0x0000000000000001.db
- %ALLUSERSPROFILE%\microsoft\windows\caches\{6af0698e-d558-4f6e-9b3c-3716689af493}.2.ver0x000000000000000b.db
- %ALLUSERSPROFILE%\microsoft\windows\caches\{6af0698e-d558-4f6e-9b3c-3716689af493}.2.ver0x000000000000000a.db
- %ALLUSERSPROFILE%\microsoft\windows\caches\{4e4260a4-7e39-442e-bc22-7ff751d1c161}.2.ver0x0000000000000002.db
- %ALLUSERSPROFILE%\microsoft\windows\caches\{40fc8d7d-05ed-4feb-b03b-6c100659ef5c}.2.ver0x0000000000000001.db
- %ALLUSERSPROFILE%\microsoft\windows\caches\cversions.2.db
- %ProgramFiles%\microsoft office\office14\samples\solvsamp.xls
- %ProgramFiles%\microsoft office\office14\1033\prottplv.xls
- %ProgramFiles%\microsoft office\office14\1033\prottplv.doc
- %ProgramFiles%\microsoft office\office14\1033\prottpln.xls
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_idx.db
- %LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_32.db
- %LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_96.db
- %LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_256.db
- %LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_1024.db
- %LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_sr.db
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\inetserv.exe'
- '%WINDIR%\syswow64\wdfmgmt.com'
- '%WINDIR%\syswow64\inetserv.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\wdfmgmt.com' ' (со скрытым окном)
- '%WINDIR%\syswow64\regedit.exe' /s "<SYSTEM32>\RegFile"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\regedit.exe' /s "<SYSTEM32>\RegFile"
