Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\lisp_success.doc
- <Имя диска съемного носителя>:\sdszfo.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\nwfieldnotes1966.docx
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\7790_preview.pdf
- <Имя диска съемного носителя>:\2015-02-patients-topic-work-related-asthma-jobs.pdf
- <Имя диска съемного носителя>:\lom602.pdf
- <Имя диска съемного носителя>:\fil_20060629111052.pdf
- <Имя диска съемного носителя>:\spib_pima.pdf
- <Имя диска съемного носителя>:\hhhlcert.pem
- <Имя диска съемного носителя>:\investmentbankca_ca8.pem
- <Имя диска съемного носителя>:\ck.pem
- <Имя диска съемного носителя>:\ck_ugo.pem
- <Имя диска съемного носителя>:\irgeek.pem
- <Имя диска съемного носителя>:\systisoft.pem
- <Имя диска съемного носителя>:\delongcacert.pem
- <Имя диска съемного носителя>:\readme.html
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\sihost.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\taskhostw.exe
- %WINDIR%\explorer.exe
- %WINDIR%\systemapps\microsoft.windows.startmenuexperiencehost_cw5n1h2txyewy\startmenuexperiencehost.exe
- <SYSTEM32>\runtimebroker.exe
- %WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\searchapp.exe
- <SYSTEM32>\dllhost.exe
- <SYSTEM32>\securityhealthsystray.exe
- <SYSTEM32>\oobe\useroobebroker.exe
- %WINDIR%\systemapps\shellexperiencehost_cw5n1h2txyewy\shellexperiencehost.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\fodhelper.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\dialmap.bmp
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\jkmscwegqsi.tpc
- C:\users\public\cqkumnfkbxs.tpc
- C:\users\public\gvwmqooxfwd.tpc
- C:\users\public\tooyok.tpc
- C:\users\public\xfbrtmabckd.tpc
- %HOMEPATH%\desktop\readme.html
- C:\users\public\vspdmcokcnx.tpc
- C:\users\public\hxuiyviepme.tpc
- C:\users\public\zmvopdnvq.tpc
- C:\users\public\jfapicc.tpc
- C:\users\public\ecvwkqylmhpz.tpc
- C:\users\public\pktnnhh.tpc
- C:\users\public\idtynvmo.tpc
- C:\users\public\wybcgxflv.tpc
- C:\users\public\eiqmjcx.tpc
- C:\users\public\hwiuizeqe.tpc
- C:\users\public\edztvtyhfpfp.tpc
- C:\users\public\uwuqbfzzl.tpc
- C:\users\public\iaypegfufk.tpc
Удаляет следующие файлы
- C:\users\public\jkmscwegqsi.tpc.qrvemwa
- C:\users\public\cqkumnfkbxs.tpc.qrvemwa
- C:\users\public\gvwmqooxfwd.tpc.qrvemwa
- C:\users\public\tooyok.tpc.qrvemwa
- C:\users\public\xfbrtmabckd.tpc.qrvemwa
- C:\users\public\vspdmcokcnx.tpc.qrvemwa
- C:\users\public\zmvopdnvq.tpc.qrvemwa
- C:\users\public\hxuiyviepme.tpc.qrvemwa
- C:\users\public\jfapicc.tpc.qrvemwa
- C:\users\public\ecvwkqylmhpz.tpc.qrvemwa
- C:\users\public\pktnnhh.tpc.qrvemwa
- C:\users\public\idtynvmo.tpc.qrvemwa
- C:\users\public\wybcgxflv.tpc.qrvemwa
- C:\users\public\eiqmjcx.tpc
- C:\users\public\hwiuizeqe.tpc
- C:\users\public\edztvtyhfpfp.tpc
- C:\users\public\uwuqbfzzl.tpc
- C:\users\public\iaypegfufk.tpc
Перемещает следующие файлы
- C:\users\public\jkmscwegqsi.tpc в C:\users\public\jkmscwegqsi.tpc.qrvemwa
- C:\users\public\cqkumnfkbxs.tpc в C:\users\public\cqkumnfkbxs.tpc.qrvemwa
- C:\users\public\gvwmqooxfwd.tpc в C:\users\public\gvwmqooxfwd.tpc.qrvemwa
- C:\users\public\tooyok.tpc в C:\users\public\tooyok.tpc.qrvemwa
- C:\users\public\xfbrtmabckd.tpc в C:\users\public\xfbrtmabckd.tpc.qrvemwa
- C:\users\public\vspdmcokcnx.tpc в C:\users\public\vspdmcokcnx.tpc.qrvemwa
- C:\users\public\zmvopdnvq.tpc в C:\users\public\zmvopdnvq.tpc.qrvemwa
- C:\users\public\hxuiyviepme.tpc в C:\users\public\hxuiyviepme.tpc.qrvemwa
- C:\users\public\jfapicc.tpc в C:\users\public\jfapicc.tpc.qrvemwa
- C:\users\public\ecvwkqylmhpz.tpc в C:\users\public\ecvwkqylmhpz.tpc.qrvemwa
- C:\users\public\pktnnhh.tpc в C:\users\public\pktnnhh.tpc.qrvemwa
- C:\users\public\idtynvmo.tpc в C:\users\public\idtynvmo.tpc.qrvemwa
- C:\users\public\wybcgxflv.tpc в C:\users\public\wybcgxflv.tpc.qrvemwa
Изменяет следующие файлы
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- %HOMEPATH%\desktop\cveuropeo.doc
- <Имя диска съемного носителя>:\fi51.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\lisp_success.doc
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- <Имя диска съемного носителя>:\sdszfo.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\nwfieldnotes1966.docx
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\7790_preview.pdf
- <Имя диска съемного носителя>:\2015-02-patients-topic-work-related-asthma-jobs.pdf
- <Имя диска съемного носителя>:\lom602.pdf
- <Имя диска съемного носителя>:\fil_20060629111052.pdf
- <Имя диска съемного носителя>:\spib_pima.pdf
- <Имя диска съемного носителя>:\hhhlcert.pem
- <Имя диска съемного носителя>:\investmentbankca_ca8.pem
- <Имя диска съемного носителя>:\ck.pem
- <Имя диска съемного носителя>:\ck_ugo.pem
- <Имя диска съемного носителя>:\irgeek.pem
Изменяет множество файлов.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' fodhelper.exe
- '<SYSTEM32>\fodhelper.exe'
- '<SYSTEM32>\wscript.exe' /B /E:VBScript.Encode ../../Users/Public/edztvtyhfpfp.tpc
- '<SYSTEM32>\wscript.exe' /B /E:VBScript.Encode ../../Users/Public/iaypegfufk.tpc
- '<SYSTEM32>\wscript.exe' /B /E:VBScript.Encode ../../Users/Public/sadmnakgaot.tpc
