Техническая информация
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\dbglog.sys
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\readme.txt
Изменяет следующие файлы
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.msi.flocked
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\wordmui.msi.flocked
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\wordlr.cab.flocked
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\outlookmui.xml.flocked
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\outlookmui.msi.flocked
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\outlklr.cab.flocked
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\publr.cab.flocked
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\publishermui.xml.flocked
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\publishermui.msi.flocked
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\pptlr.cab.flocked
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\powerpointmui.xml.flocked
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\powerpointmui.msi.flocked
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excelmui.xml.flocked
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excelmui.msi.flocked
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excellr.cab.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\setup.xml.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\propsww2.cab.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\propsww.cab.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.xml.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.msi.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\pkeyconfig-office.xrm-ms.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\owow32ww.cab.flocked
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.xml.flocked
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\wordmui.xml.flocked
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\proof.cab.flocked
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c net config Workstation (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' start
- '%WINDIR%\syswow64\net.exe' start
- '%WINDIR%\syswow64\cmd.exe' /c net start (со скрытым окном)
- '%WINDIR%\syswow64\tasklist.exe' /SVC
- '%WINDIR%\syswow64\cmd.exe' /c tasklist /SVC (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /query /fo LIST /v
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /query /fo LIST /v (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' firewall show config
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall show config (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' firewall show state
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall show state (со скрытым окном)
- '%WINDIR%\syswow64\netstat.exe' -ano
- '%WINDIR%\syswow64\cmd.exe' /c netstat -ano (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c DRIVERQUERY (со скрытым окном)
- '%WINDIR%\syswow64\arp.exe' -A
- '%WINDIR%\syswow64\route.exe' print
- '%WINDIR%\syswow64\cmd.exe' /c route print (со скрытым окном)
- '%WINDIR%\syswow64\ipconfig.exe' /all
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /all (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' users
- '%WINDIR%\syswow64\net.exe' users
- '%WINDIR%\syswow64\cmd.exe' /c net users (со скрытым окном)
- '%WINDIR%\syswow64\hostname.exe'
- '%WINDIR%\syswow64\cmd.exe' /c hostname (со скрытым окном)
- '%WINDIR%\syswow64\systeminfo.exe'
- '%WINDIR%\syswow64\cmd.exe' /c systeminfo (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' config Workstation
- '%WINDIR%\syswow64\net.exe' config Workstation
- '%WINDIR%\syswow64\cmd.exe' /c arp -A (со скрытым окном)
- '%WINDIR%\syswow64\driverquery.exe'
