Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\split.avi
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль iphlpapi.dll
- Процесс firefox.exe, модуль nss3.dll
- Процесс firefox.exe, модуль wintrust.dll
- Процесс firefox.exe, модуль cryptsp.dll
- Процесс firefox.exe, модуль dnsapi.dll
- Процесс firefox.exe, модуль netutils.dll
- Процесс firefox.exe, модуль crypt32.dll
- Процесс firefox.exe, модуль urlmon.dll
- Процесс firefox.exe, модуль wsock32.dll
- Процесс firefox.exe, модуль wininet.dll
- Процесс firefox.exe, модуль mswsock.dll
- Процесс firefox.exe, модуль wtsapi32.dll
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\b9cb41b6bbe58575fd290f28f1098ba5_d99ef00b-ccd3-4f1d-9980-90ac453b0b47
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\89747b95a65989c82ba5e94cb2c97914_d99ef00b-ccd3-4f1d-9980-90ac453b0b47
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\dd147928e61d03a2e1e9b9358ca78b0b_d99ef00b-ccd3-4f1d-9980-90ac453b0b47
- C:\users\public\desktop\key
- %APPDATA%\ylitno\ihzy.exe
- %TEMP%\tmp_54121187.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\ylitno\ihzy.exe
Удаляет следующие файлы
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\b9cb41b6bbe58575fd290f28f1098ba5_d99ef00b-ccd3-4f1d-9980-90ac453b0b47
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\dd147928e61d03a2e1e9b9358ca78b0b_d99ef00b-ccd3-4f1d-9980-90ac453b0b47
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\89747b95a65989c82ba5e94cb2c97914_d99ef00b-ccd3-4f1d-9980-90ac453b0b47
Перемещает следующие файлы
- %APPDATA%\mozilla\firefox\profiles\m15ucxjx.default\user.js в %APPDATA%\mozilla\firefox\profiles\m15ucxjx.default\avse.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\blist.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\utluw.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\cert9.db в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\ibrui.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\cookies.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\kyzioxo.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\enigmail.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\egunfuug.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\favicons.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\acquukbi.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\formhistory.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\ivuhnaixuqn.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\global-messages-db.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\ofzupeabsyqaicxyuw.locked
- %APPDATA%\telegram desktop\unins000.dat в %APPDATA%\telegram desktop\vukeetqe.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\abook.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\ofdeg.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\history.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\ovxeify.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\openpgp.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\ypodxei.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\permissions.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\ahepykutwac.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\pkcs11.txt в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\badaup.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\places.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\udeviz.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\prefs.js в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\enuda.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\storage\permanent\chrome\idb\ugalgihytuetekewmozyortev.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\storage.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\esziusl.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\key4.db в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\ixaz.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\mailviews.dat в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\ivhyilecw.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\webappsstore.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\iqyxheogmaul.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\user.js в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\odga.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\xazivax.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cookies.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\erhezii.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\favicons.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cyobigha.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\formhistory.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\kyzociraoty.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\gmp-widevinecdm\4.10.1582.2\license.txt в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\gmp-widevinecdm\4.10.1582.2\pefuwia.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\key4.db в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\umil.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\permissions.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\azidipyvawy.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\pkcs11.txt в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\ufdayc.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\places.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\etuxsi.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\content-prefs.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\qaupvufeylqol.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\pluginreg.dat в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\xomaitput.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\sitesecurityservicestate.txt в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\ytufhauwxiexutacqiiqazky.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\default\moz-extension+++5fc1ef9c-f7bf-452f-a7ef-92635f5362ce^usercontextid=4294967295\idb\3647222921wleabceoxlt-eengsairo.sql... в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\default\moz-extension+++5fc1ef9c-f7bf-452f-a7ef-92635f5362ce^usercontextid=4294967295\idb\zuymalypteiplisigiogfomudeodhov.loc...
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\1451318868ntouromlalnodry--epcr.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\yfabxipuozobocgyapinlipuapdapup.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\1657114595amcateirvtisty.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\iqhiuzkuaxpaegzoyfydsuka.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\2823318777ntouromlalnodry--naod.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\sicaarxuhyofveosuqipciilgiydyss.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\2918063365piupsah.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\uksauvtiumaherata.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\3561288849sdhlie.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\adonpuovxousbytu.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\storage\permanent\chrome\idb\ezbienydimkuwapufoibydsee.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\prefs.js в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\haish.locked
- %APPDATA%\thunderbird\profiles\chdgbv82.default-release\webappsstore.sqlite в %APPDATA%\thunderbird\profiles\chdgbv82.default-release\hyadegtovyze.locked
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cert9.db в %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\zyoka.locked
Изменяет следующие файлы
Изменяет множество файлов.
Самоудаляется.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'i5######y5gzakmd.onion.link':80
- 'i5######y5gzakmd.onion.top':443
- 'x1.#.lencr.org':80
- 'i5######y5gzakmd.onion.pw':80
- 'i5######y5gzakmd.onion.pw':443
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Запросы HTTP POST
- http://i5######y5gzakmd.onion.pw/gate
Другие
- 'i5######y5gzakmd.onion.top':443
- 'i5######y5gzakmd.onion.pw':443
UDP
- DNS ASK i5######y5gzakmd.onion.link
- DNS ASK i5######y5gzakmd.onion.to
- DNS ASK i5######y5gzakmd.onion.sx
- DNS ASK i5######y5gzakmd.onion.top
- DNS ASK x1.#.lencr.org
- DNS ASK i5######y5gzakmd.onion.rip
- DNS ASK i5######y5gzakmd.onion.pw
Другое
Создает и запускает на исполнение
- '%APPDATA%\ylitno\ihzy.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c "%TEMP%\tmp_54121187.bat" (со скрытым окном)
- '%WINDIR%\syswow64\wbem\wmic.exe' shadowcopy delete /nointeractive (со скрытым окном)
