Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\correct.avi
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\sdszfo.docx
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\readme.txt
Изменяет следующие файлы
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\google chrome.lnk
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\telegram.lnk
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\applicantform_en.doc
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'google.com':443
- 'pk#.goog':80
- 'localhost':8080
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'google.com':443
UDP
- DNS ASK google.com
- DNS ASK pk#.goog
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "(Get-CimInstance -Class Win32_ComputerSystemProduct).UUID"
