Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Интерпретатора командной строки (CMD)
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
изменяет следующие системные настройки:
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoChangeStartMenu' = '00000001'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
удаляет теневые копии разделов.
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\alert.html
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\cveuropeo.doc
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\readmeplease.txt
- %HOMEPATH%\desktop\gcrybground.png
- %TEMP%\iamthedoom.bat
- %HOMEPATH%\desktop\64bit_notes.htm.lcryx
- %HOMEPATH%\desktop\adhd_and_obesity.docx.lcryx
- %HOMEPATH%\desktop\advice_process.htm.lcryx
- %HOMEPATH%\desktop\alert.html.lcryx
- %HOMEPATH%\desktop\coffee.bmp.lcryx
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'google.com':80
- 'drive.google.com':443
- 'pk#.goog':80
TCP
Запросы HTTP GET
- http://www.google.com/
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'drive.google.com':443
UDP
- DNS ASK google.com
- DNS ASK drive.google.com
- DNS ASK pk#.goog
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\wscript.exe' "<PATH_SAMPLE>.vbs" /elevated
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://languishcharmingwidely.com/22/f4/31/22f431404146fb2f892b30f7d213aea4.js /crash-reporter-parent-id=3332
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.msnsndstdyyemkemafgk.dns.army/receipst/vbc.exe?pla /crash-reporter-parent-id=3360
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.youtube.com/ /crash-reporter-parent-id=3492
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://smoggy-inexpensive-innocent.glitch.me/ /crash-reporter-parent-id=3552
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://mail.yahoo.com/ /crash-reporter-parent-id=3576
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://languishcharmingwidely.com/22/f4/31/22f431404146fb2f892b30f7d213aea4.js /crash-reporter-parent-id=3616
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.msnsndstdyyemkemafgk.dns.army/receipst/vbc.exe?pla /crash-reporter-parent-id=3676
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.youtube.com/ /crash-reporter-parent-id=3728
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://smoggy-inexpensive-innocent.glitch.me/ /crash-reporter-parent-id=3772
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://mail.yahoo.com/ /crash-reporter-parent-id=3828
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://languishcharmingwidely.com/22/f4/31/22f431404146fb2f892b30f7d213aea4.js /crash-reporter-parent-id=3876
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.msnsndstdyyemkemafgk.dns.army/receipst/vbc.exe?pla /crash-reporter-parent-id=3900
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.youtube.com/ /crash-reporter-parent-id=4112
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.youtube.com/ /crash-reporter-parent-id=3960
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://mail.yahoo.com/ /crash-reporter-parent-id=3188
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://languishcharmingwidely.com/22/f4/31/22f431404146fb2f892b30f7d213aea4.js /crash-reporter-parent-id=3156
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\adhd_and_obesity.docx.lcryx
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\advice_process.htm.lcryx
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\alert.html.lcryx
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\coffee.bmp.lcryx
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\contosoroot_1.cer.lcryx
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.msnsndstdyyemkemafgk.dns.army/receipst/vbc.exe?pla /crash-reporter-parent-id=3328
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.youtube.com/ /crash-reporter-parent-id=1880
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://smoggy-inexpensive-innocent.glitch.me/ /crash-reporter-parent-id=3920
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://mail.yahoo.com/ /crash-reporter-parent-id=3100
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://languishcharmingwidely.com/22/f4/31/22f431404146fb2f892b30f7d213aea4.js /crash-reporter-parent-id=1084
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://smoggy-inexpensive-innocent.glitch.me/ /crash-reporter-parent-id=3180
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://mail.yahoo.com/ /crash-reporter-parent-id=3288
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.youtube.com/ /crash-reporter-parent-id=2760
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://smoggy-inexpensive-innocent.glitch.me/ /crash-reporter-parent-id=2728
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://mail.yahoo.com/ /crash-reporter-parent-id=2504
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\READMEPLEASE.txt
- '<SYSTEM32>\rundll32.exe' user32.dll,UpdatePerUserSystemParameters
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\iamthedoom.bat" "
- '<SYSTEM32>\mspaint.exe'
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://languishcharmingwidely.com/22/f4/31/22f431404146fb2f892b30f7d213aea4.js"
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "http://www.msnsndstdyyemkemafgk.dns.army/receipst/vbc.exe?pla"
- '<SYSTEM32>\calc.exe'
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "http://www.youtube.com/"
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "http://smoggy-inexpensive-innocent.glitch.me/"
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "http://mail.yahoo.com/"
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\64bit_notes.htm.lcryx
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.msnsndstdyyemkemafgk.dns.army/receipst/vbc.exe?pla /crash-reporter-parent-id=1900
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- http://www.msnsndstdyyemkemafgk.dns.army/receipst/vbc.exe?pla
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://smoggy-inexpensive-innocent.glitch.me/ /crash-reporter-parent-id=4044
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- http://www.youtube.com/
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://languishcharmingwidely.com/22/f4/31/22f431404146fb2f892b30f7d213aea4.js
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.msnsndstdyyemkemafgk.dns.army/receipst/vbc.exe?pla /crash-reporter-parent-id=304
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://languishcharmingwidely.com/22/f4/31/22f431404146fb2f892b30f7d213aea4.js /crash-reporter-parent-id=312
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.msnsndstdyyemkemafgk.dns.army/receipst/vbc.exe?pla /crash-reporter-parent-id=1184
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.youtube.com/ /crash-reporter-parent-id=1444
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://languishcharmingwidely.com/22/f4/31/22f431404146fb2f892b30f7d213aea4.js /crash-reporter-parent-id=600
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.youtube.com/ /crash-reporter-parent-id=1684
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://languishcharmingwidely.com/22/f4/31/22f431404146fb2f892b30f7d213aea4.js /crash-reporter-parent-id=2052
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://www.msnsndstdyyemkemafgk.dns.army/receipst/vbc.exe?pla /crash-reporter-parent-id=1076
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://smoggy-inexpensive-innocent.glitch.me/ /crash-reporter-parent-id=364
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- http://mail.yahoo.com/ /crash-reporter-parent-id=2392
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- http://smoggy-inexpensive-innocent.glitch.me/
- '<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet (со скрытым окном)
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- http://mail.yahoo.com/
- '<SYSTEM32>\taskkill.exe' /F /IM explorer.exe (со скрытым окном)
