Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\lisp_success.doc
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx
- <Имя диска съемного носителя>:\sdszfo.docx
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\ff_ot_user_guide.pdf
- <Имя диска съемного носителя>:\dualectls.pdf
- <Имя диска съемного носителя>:\7790_preview.pdf
- <Имя диска съемного носителя>:\irgeek.pem
- <Имя диска съемного носителя>:\ck_ugo.pem
- <Имя диска съемного носителя>:\tunpersonalca1.pem
- <Имя диска съемного носителя>:\ck.pem
- <Имя диска съемного носителя>:\systisoft.pem
- <Имя диска съемного носителя>:\investmentbankca_ca8.pem
- <Имя диска съемного носителя>:\cert.pem
- <Имя диска съемного носителя>:\readme.html
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\sihost.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\taskhostw.exe
- %WINDIR%\explorer.exe
- %WINDIR%\systemapps\microsoft.windows.startmenuexperiencehost_cw5n1h2txyewy\startmenuexperiencehost.exe
- <SYSTEM32>\runtimebroker.exe
- %WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\searchapp.exe
- <SYSTEM32>\dllhost.exe
- <SYSTEM32>\securityhealthsystray.exe
- <SYSTEM32>\oobe\useroobebroker.exe
- %WINDIR%\systemapps\shellexperiencehost_cw5n1h2txyewy\shellexperiencehost.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\fodhelper.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\split.avi
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\arcgth.fla
- C:\users\public\ytlwvivuikft.fla
- C:\users\public\uzeqmgnrev.fla
- C:\users\public\eityxuv.fla
- C:\users\public\bfpficm.fla
- %HOMEPATH%\desktop\readme.html
- C:\users\public\gchvxhcicmjh.fla
- C:\users\public\zgzewfixm.fla
- C:\users\public\bdjmcu.fla
- C:\users\public\gpohbvc.fla
- C:\users\public\btzvotaowo.fla
- C:\users\public\fhhlfqv.fla
- C:\users\public\kordzfwdyi.fla
- C:\users\public\tlsejxcdp.fla
- C:\users\public\zeykge.fla
- C:\users\public\naugrbtk.fla
- C:\users\public\awshwpwhdeqi.fla
- C:\users\public\vhfzmvjgkzn.fla
- C:\users\public\fzslwhhciuxb.fla
- C:\users\public\vitzhpjtwar.fla
- C:\users\public\enwdbaog.fla
- C:\users\public\hazpkmkmd.fla
Удаляет следующие файлы
- C:\users\public\arcgth.fla.ioxtlfkl
- C:\users\public\ytlwvivuikft.fla.ioxtlfkl
- C:\users\public\eityxuv.fla.ioxtlfkl
- C:\users\public\bfpficm.fla.ioxtlfkl
- C:\users\public\uzeqmgnrev.fla.ioxtlfkl
- C:\users\public\gchvxhcicmjh.fla.ioxtlfkl
- C:\users\public\bdjmcu.fla.ioxtlfkl
- C:\users\public\gpohbvc.fla.ioxtlfkl
- C:\users\public\kordzfwdyi.fla.ioxtlfkl
- C:\users\public\btzvotaowo.fla.ioxtlfkl
- C:\users\public\zgzewfixm.fla.ioxtlfkl
- C:\users\public\fhhlfqv.fla.ioxtlfkl
- C:\users\public\tlsejxcdp.fla.ioxtlfkl
- C:\users\public\zeykge.fla.ioxtlfkl
- C:\users\public\naugrbtk.fla
- C:\users\public\awshwpwhdeqi.fla
- C:\users\public\vhfzmvjgkzn.fla
- C:\users\public\fzslwhhciuxb.fla
- C:\users\public\vitzhpjtwar.fla
- C:\users\public\enwdbaog.fla
- C:\users\public\hazpkmkmd.fla
Перемещает следующие файлы
- C:\users\public\arcgth.fla в C:\users\public\arcgth.fla.ioxtlfkl
- C:\users\public\ytlwvivuikft.fla в C:\users\public\ytlwvivuikft.fla.ioxtlfkl
- C:\users\public\eityxuv.fla в C:\users\public\eityxuv.fla.ioxtlfkl
- C:\users\public\bfpficm.fla в C:\users\public\bfpficm.fla.ioxtlfkl
- C:\users\public\uzeqmgnrev.fla в C:\users\public\uzeqmgnrev.fla.ioxtlfkl
- C:\users\public\gchvxhcicmjh.fla в C:\users\public\gchvxhcicmjh.fla.ioxtlfkl
- C:\users\public\bdjmcu.fla в C:\users\public\bdjmcu.fla.ioxtlfkl
- C:\users\public\gpohbvc.fla в C:\users\public\gpohbvc.fla.ioxtlfkl
- C:\users\public\zgzewfixm.fla в C:\users\public\zgzewfixm.fla.ioxtlfkl
- C:\users\public\kordzfwdyi.fla в C:\users\public\kordzfwdyi.fla.ioxtlfkl
- C:\users\public\btzvotaowo.fla в C:\users\public\btzvotaowo.fla.ioxtlfkl
- C:\users\public\fhhlfqv.fla в C:\users\public\fhhlfqv.fla.ioxtlfkl
- C:\users\public\tlsejxcdp.fla в C:\users\public\tlsejxcdp.fla.ioxtlfkl
- C:\users\public\zeykge.fla в C:\users\public\zeykge.fla.ioxtlfkl
Изменяет следующие файлы
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\lisp_success.doc
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- %HOMEPATH%\desktop\sdszfo.docx
- <Имя диска съемного носителя>:\lisp_success.doc
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx
- <Имя диска съемного носителя>:\sdszfo.docx
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\ff_ot_user_guide.pdf
- <Имя диска съемного носителя>:\dualectls.pdf
- <Имя диска съемного носителя>:\7790_preview.pdf
- <Имя диска съемного носителя>:\irgeek.pem
- <Имя диска съемного носителя>:\ck_ugo.pem
- <Имя диска съемного носителя>:\tunpersonalca1.pem
- <Имя диска съемного носителя>:\ck.pem
- <Имя диска съемного носителя>:\systisoft.pem
- <Имя диска съемного носителя>:\investmentbankca_ca8.pem
- <Имя диска съемного носителя>:\cert.pem
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' fodhelper.exe
- '<SYSTEM32>\fodhelper.exe'
- '<SYSTEM32>\wscript.exe' /B /E:VBScript.Encode ../../Users/Public/fzslwhhciuxb.fla
- '<SYSTEM32>\wscript.exe' /B /E:VBScript.Encode ../../Users/Public/uxdfwpbwlryv.fla
