Техническая информация
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\dbglog.sys
- %CommonProgramFiles%\microsoft shared\ink\pt-br\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\pl-pl\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\nl-nl\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\nb-no\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\lv-lv\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\lt-lt\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\ro-ro\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\pt-pt\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\it-it\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\hu-hu\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\hr-hr\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\he-il\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fsdefinitions\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fsdefinitions\web\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\ko-kr\readme.txt
- %CommonProgramFiles%\microsoft shared\equation\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\ru-ru\readme.txt
- %CommonProgramFiles%\microsoft shared\office14\office setup controller\groove.en-us\readme.txt
- %CommonProgramFiles%\microsoft shared\office14\office setup controller\excel.en-us\readme.txt
- %CommonProgramFiles%\microsoft shared\office14\office setup controller\access.en-us\readme.txt
- %CommonProgramFiles%\microsoft shared\office14\cultures\readme.txt
- %CommonProgramFiles%\microsoft shared\office14\1033\readme.txt
- %CommonProgramFiles%\microsoft shared\msinfo\en-us\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\zh-tw\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\zh-cn\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\uk-ua\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\tr-tr\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\th-th\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\sv-se\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\sr-latn-cs\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\sl-si\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fsdefinitions\symbols\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\ja-jp\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fsdefinitions\oskpred\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fsdefinitions\osknumpad\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fsdefinitions\oskmenu\readme.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.es\readme.txt
- C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-00a1-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.fr\readme.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\readme.txt
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\access.en-us\readme.txt
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\readme.txt
- %CommonProgramFiles%\microsoft shared\office14\office setup controller\infopath.en-us\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\sk-sk\readme.txt
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\ar-sa\readme.txt
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fsdefinitions\numbers\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fsdefinitions\main\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fsdefinitions\keypad\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fsdefinitions\auxpad\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fr-fr\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\fi-fi\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\et-ee\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\es-es\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\en-us\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\el-gr\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\de-de\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\da-dk\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\cs-cz\readme.txt
- %CommonProgramFiles%\microsoft shared\ink\bg-bg\readme.txt
- %CommonProgramFiles%\microsoft shared\grphflt\readme.txt
- %CommonProgramFiles%\microsoft shared\office14\office setup controller\office.en-us\readme.txt
Изменяет следующие файлы
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.msi.flocked
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\wordmui.msi.flocked
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\wordlr.cab.flocked
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\outlookmui.xml.flocked
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\outlookmui.msi.flocked
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\outlklr.cab.flocked
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\publr.cab.flocked
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\publishermui.xml.flocked
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\publishermui.msi.flocked
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\pptlr.cab.flocked
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\powerpointmui.xml.flocked
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\powerpointmui.msi.flocked
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excelmui.xml.flocked
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excelmui.msi.flocked
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excellr.cab.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\propsww2.cab.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\propsww.cab.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.xml.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.msi.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\pkeyconfig-office.xrm-ms.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\owow32ww.cab.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.xml.flocked
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\wordmui.xml.flocked
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\proof.cab.flocked
Изменяет множество файлов.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
TCP
Другие
- '34.##9.100.209':443
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c net config Workstation (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' start
- '%WINDIR%\syswow64\net.exe' start
- '%WINDIR%\syswow64\cmd.exe' /c net start (со скрытым окном)
- '%WINDIR%\syswow64\tasklist.exe' /SVC
- '%WINDIR%\syswow64\cmd.exe' /c tasklist /SVC (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /query /fo LIST /v
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /query /fo LIST /v (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' firewall show config
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall show config (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' firewall show state
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall show state (со скрытым окном)
- '%WINDIR%\syswow64\netstat.exe' -ano
- '%WINDIR%\syswow64\cmd.exe' /c netstat -ano (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c DRIVERQUERY (со скрытым окном)
- '%WINDIR%\syswow64\arp.exe' -A
- '%WINDIR%\syswow64\route.exe' print
- '%WINDIR%\syswow64\cmd.exe' /c route print (со скрытым окном)
- '%WINDIR%\syswow64\ipconfig.exe' /all
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /all (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' users
- '%WINDIR%\syswow64\net.exe' users
- '%WINDIR%\syswow64\cmd.exe' /c net users (со скрытым окном)
- '%WINDIR%\syswow64\hostname.exe'
- '%WINDIR%\syswow64\cmd.exe' /c hostname (со скрытым окном)
- '%WINDIR%\syswow64\systeminfo.exe'
- '%WINDIR%\syswow64\cmd.exe' /c systeminfo (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' config Workstation
- '%WINDIR%\syswow64\net.exe' config Workstation
- '%WINDIR%\syswow64\cmd.exe' /c arp -A (со скрытым окном)
- '%WINDIR%\syswow64\driverquery.exe'
