Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\tileimage.bmp.exe
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\sdszfo.docx
- <Имя диска съемного носителя>:\dashborder_144.bmp.exe
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\dashborder_96.bmp.exe
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.exe
- <Имя диска съемного носителя>:\testee.cer.exe
- <Имя диска съемного носителя>:\contoso.cer.exe
- <Имя диска съемного носителя>:\fi51.doc.exe
- <Имя диска съемного носителя>:\testcertificate.cer.exe
- <Имя диска съемного носителя>:\february_catalogue__2015.doc.exe
- <Имя диска съемного носителя>:\lisp_success.doc
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\skypesetup.exe
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.exe
- <Имя диска съемного носителя>:\split.avi.exe
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\correct.avi.exe
- <Имя диска съемного носителя>:\delete.avi.exe
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\toolbar.bmp.exe
- <Имя диска съемного носителя>:\hntixwlsle\dpwnjuxuyc.exe
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\calc.exe
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\sxstrace.exe
- %WINDIR%\microsoft.net\framework\v2.0.50727\dw20.exe
- %WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\bxptpmgpbi\bxptpmgpbi.ico
- %TEMP%\~temp982260.tmp
- %TEMP%\rcxfcf4.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\owoautigvw
- %ALLUSERSPROFILE%\bxptpmgpbi\sdszfo.docx.ico
- %TEMP%\rcxf70b.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\noxbpycgbn
- %ALLUSERSPROFILE%\bxptpmgpbi\holycrosschurchinstructions.docx.ico
- %TEMP%\~temp982525.tmp
- %TEMP%\~temp978672.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\risuaruuoh
- %ALLUSERSPROFILE%\bxptpmgpbi\issi2013_template_for_posters.docx.ico
- %TEMP%\~temp977549.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\spnrbfhrqa
- %ALLUSERSPROFILE%\bxptpmgpbi\file_p_00000000_1371597592.docx.ico
- %TEMP%\rcxea5e.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\kfgdujxxdf
- %ALLUSERSPROFILE%\bxptpmgpbi\adhd_and_obesity.docx.ico
- %TEMP%\~temp982650.tmp
- %TEMP%\rcxff35.tmp
- %TEMP%\rcxffa2.tmp
- %TEMP%\rcx1380.tmp
- %TEMP%\~temp987767.tmp
- %TEMP%\rcx12d4.tmp
- %TEMP%\~temp987673.tmp
- %TEMP%\~temp987720.tmp
- %TEMP%\~temp987704.tmp
- %TEMP%\rcxf3c.tmp
- %TEMP%\~temp986612.tmp
- %TEMP%\rcxc8d.tmp
- %TEMP%\rcx780.tmp
- %TEMP%\rcx77f.tmp
- %TEMP%\~temp984647.tmp
- %TEMP%\~temp984225.tmp
- %TEMP%\~temp984163.tmp
- %TEMP%\rcx31b.tmp
- %TEMP%\rcx222.tmp
- %TEMP%\~temp982821.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\lisp_success.doc.ico
- %TEMP%\rcx139f.tmp
- %TEMP%\~temp977143.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\uep_form_786_bulletin_1726i602.doc.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\ypmuhtmpea
- %TEMP%\~temp971309.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\dashborder_144.bmp.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\wiwkkqsfku
- %ALLUSERSPROFILE%\bxptpmgpbi\tileimage.bmp.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\tectwrcdla
- %ALLUSERSPROFILE%\bxptpmgpbi\toolbar.bmp.ico
- %TEMP%\rcxd317.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\gmaivwkrqm
- %ALLUSERSPROFILE%\bxptpmgpbi\mtydsrqpyw
- %ALLUSERSPROFILE%\bxptpmgpbi\correct.avi.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\ntkhuxrese
- %ALLUSERSPROFILE%\bxptpmgpbi\delete.avi.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\gkbrbxokcr
- %ALLUSERSPROFILE%\bxptpmgpbi\split.avi.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\jdxihmnlcn
- %ALLUSERSPROFILE%\bxptpmgpbi\dashborder_96.bmp.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\sdksampleunprivdeveloper.cer.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\gsnolvcqdu
- %ALLUSERSPROFILE%\bxptpmgpbi\sdksampleprivdeveloper.cer.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\gfxhuhjywl
- %ALLUSERSPROFILE%\bxptpmgpbi\fi51.doc.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\cxbcsksjuh
- %ALLUSERSPROFILE%\bxptpmgpbi\february_catalogue__2015.doc.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\molambofho
- %ALLUSERSPROFILE%\bxptpmgpbi\testcertificate.cer.ico
- %ALLUSERSPROFILE%\bxptpmgpbi\pniujgpktj
- %ALLUSERSPROFILE%\bxptpmgpbi\contoso.cer.ico
- %TEMP%\rcxdcd7.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\wcxottpbwc
- %TEMP%\rcxdb60.tmp
- %TEMP%\~temp973555.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\testee.cer.ico
- %TEMP%\rcxdac4.tmp
- %TEMP%\~temp973415.tmp
- %TEMP%\~temp973399.tmp
- %ALLUSERSPROFILE%\bxptpmgpbi\bvqdcolien
- %ALLUSERSPROFILE%\bxptpmgpbi\uhyixmekvd
- %TEMP%\rcx13af.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\hntixwlsle\dpwnjuxuyc.exe
Перемещает следующие файлы
- %TEMP%\rcxd317.tmp в %TEMP%\~temp971309.tmp
- %TEMP%\rcx1380.tmp в %TEMP%\~temp987720.tmp
- %TEMP%\rcx12d4.tmp в %TEMP%\~temp987673.tmp
- %TEMP%\rcxf3c.tmp в %TEMP%\~temp986612.tmp
- %TEMP%\rcxc8d.tmp в %TEMP%\~temp984225.tmp
- %TEMP%\rcx780.tmp в %TEMP%\~temp984647.tmp
- %TEMP%\rcx77f.tmp в %TEMP%\~temp984163.tmp
- %TEMP%\rcx31b.tmp в %TEMP%\~temp982821.tmp
- %TEMP%\rcx13af.tmp в %TEMP%\~temp987767.tmp
- %TEMP%\rcx222.tmp в %TEMP%\~temp982525.tmp
- %TEMP%\rcxff35.tmp в %TEMP%\~temp982260.tmp
- %TEMP%\rcxfcf4.tmp в %TEMP%\~temp977549.tmp
- %TEMP%\rcxf70b.tmp в %TEMP%\~temp978672.tmp
- %TEMP%\rcxea5e.tmp в %TEMP%\~temp977143.tmp
- %TEMP%\rcxdcd7.tmp в %TEMP%\~temp973555.tmp
- %TEMP%\rcxdb60.tmp в %TEMP%\~temp973415.tmp
- %TEMP%\rcxdac4.tmp в %TEMP%\~temp973399.tmp
- %TEMP%\rcxffa2.tmp в %TEMP%\~temp982650.tmp
- %TEMP%\rcx139f.tmp в %TEMP%\~temp987704.tmp
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'za#####1.duckdns.org':6870
TCP
Другие
- 'za#####1.duckdns.org':6870
UDP
- DNS ASK za#####1.duckdns.org
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\sxstrace.exe'
- '%WINDIR%\microsoft.net\framework\v2.0.50727\dw20.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\owoautigvw" /out "<Имя диска съемного носителя>:\sdszfo.docx.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\sdszfo.docx.ico" /bin "%ALLUSERSPROFILE%\bxptpmgpbi\jdxih...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\noxbpycgbn" /out "<Имя диска съемного носителя>:\holycrosschurchinstructions.docx.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\holycrosschurchinstructions.docx.ico...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\dw20.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\spnrbfhrqa" /out "<Имя диска съемного носителя>:\adhd_and_obesity.docx.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\adhd_and_obesity.docx.ico" /bin "%ALLUSERSPROFI...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\dw20.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\risuaruuoh" /out "<Имя диска съемного носителя>:\issi2013_template_for_posters.docx.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\issi2013_template_for_posters.docx...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\dw20.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\spnrbfhrqa" /out "<Имя диска съемного носителя>:\file_p_00000000_1371597592.docx.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\file_p_00000000_1371597592.docx.ico" ...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\gfxhuhjywl" /out "<Имя диска съемного носителя>:\fi51.doc.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\fi51.doc.ico" /bin "%ALLUSERSPROFILE%\bxptpmgpbi\jdxihmnlcn"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\cxbcsksjuh" /out "<Имя диска съемного носителя>:\february_catalogue__2015.doc.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\february_catalogue__2015.doc.ico" /bin "...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\molambofho" /out "<Имя диска съемного носителя>:\TestCertificate.cer.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\TestCertificate.cer.ico" /bin "%ALLUSERSPROFILE%\...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\pniujgpktj" /out "<Имя диска съемного носителя>:\contoso.cer.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\contoso.cer.ico" /bin "%ALLUSERSPROFILE%\bxptpmgpbi\jdxih...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\wcxottpbwc" /out "<Имя диска съемного носителя>:\testEE.cer.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\testEE.cer.ico" /bin "%ALLUSERSPROFILE%\bxptpmgpbi\jdxihmn...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\dw20.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\bvqdcolien" /out "<Имя диска съемного носителя>:\SDKSamplePrivDeveloper.cer.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\SDKSamplePrivDeveloper.cer.ico" /bin "%ALL...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\gsnolvcqdu" /out "<Имя диска съемного носителя>:\SDKSampleUnprivDeveloper.cer.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\SDKSampleUnprivDeveloper.cer.ico" /bin "...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\ypmuhtmpea" /out "<Имя диска съемного носителя>:\dashBorder_144.bmp.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\dashBorder_144.bmp.ico" /bin "%ALLUSERSPROFILE%\bx...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\wiwkkqsfku" /out "<Имя диска съемного носителя>:\tileimage.bmp.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\tileimage.bmp.ico" /bin "%ALLUSERSPROFILE%\bxptpmgpbi\j...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\tectwrcdla" /out "<Имя диска съемного носителя>:\toolbar.bmp.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\toolbar.bmp.ico" /bin "%ALLUSERSPROFILE%\bxptpmgpbi\jdxih...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\gmaivwkrqm" /out "<Имя диска съемного носителя>:\dashBorder_96.bmp.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\dashBorder_96.bmp.ico" /bin "%ALLUSERSPROFILE%\bxpt...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\mtydsrqpyw" /out "<Имя диска съемного носителя>:\correct.avi.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\correct.avi.ico" /bin "%ALLUSERSPROFILE%\bxptpmgpbi\jdxih...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\applaunch.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\ntkhuxrese" /out "<Имя диска съемного носителя>:\delete.avi.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\delete.avi.ico" /bin "%ALLUSERSPROFILE%\bxptpmgpbi\jdxihmn...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\dw20.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\gkbrbxokcr" /out "<Имя диска съемного носителя>:\split.avi.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\split.avi.ico" /bin "%ALLUSERSPROFILE%\bxptpmgpbi\jdxihmnlc...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\dw20.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\laocqqehyx" /out "<Имя диска съемного носителя>:\skypesetup.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\skypesetup.exe.ico" /bin "%ALLUSERSPROFILE%\bxptpmgpbi\jdx...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\dw20.exe' /in "%ALLUSERSPROFILE%\bxptpmgpbi\iileucootn" /out "<Имя диска съемного носителя>:\calc.exe" /icon "%ALLUSERSPROFILE%\bxptpmgpbi\calc.exe.ico" /bin "%ALLUSERSPROFILE%\bxptpmgpbi\jdxihmnlcn"
