Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '{076000C8-9A47-128A-A2F9-37AE89F197DF}' = '%ALLUSERSPROFILE%\{9B7028F8-B277-8E9A-A2F9-37AE89F197DF}\36cff867.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\{076000c8-9a47-128a-a2f9-37ae89f197df}
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\{fe3af57d-02e0-bd83-8085-7921d4c8d48e}\b1d68ea8-9c68-b84e-be35-568f7ca8f202.exe
- <Имя диска съемного носителя>:\delete.avi.lnk
- <Имя диска съемного носителя>:\correct.avi.lnk
- <Имя диска съемного носителя>:\split.avi.lnk
- <Имя диска съемного носителя>:\000814251_video_01.avi.lnk
- <Имя диска съемного носителя>:\toolbar.bmp.lnk
- <Имя диска съемного носителя>:\dashborder_144.bmp.lnk
- <Имя диска съемного носителя>:\dashborder_96.bmp.lnk
- <Имя диска съемного носителя>:\dialmap.bmp.lnk
- <Имя диска съемного носителя>:\dial.bmp.lnk
- <Имя диска съемного носителя>:\dashborder_192.bmp.lnk
- <Имя диска съемного носителя>:\pmd.cer.lnk
- <Имя диска съемного носителя>:\testcertificate.cer.lnk
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.lnk
- <Имя диска съемного носителя>:\contoso_1.cer.lnk
- <Имя диска съемного носителя>:\contosoroot_1.cer.lnk
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.lnk
- <Имя диска съемного носителя>:\lisp_success.doc.lnk
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc.lnk
- <Имя диска съемного носителя>:\applicantform_en.doc.lnk
- <Имя диска съемного носителя>:\weeklysheet1215.doc.lnk
- <Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx.lnk
- <Имя диска съемного носителя>:\sdszfo.docx.lnk
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx.lnk
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx.lnk
- <Имя диска съемного носителя>:\utorrent.exe.lnk
- <Имя диска съемного носителя>:\tcm851ax32.exe.lnk
- <Имя диска съемного носителя>:\skypesetup.exe.lnk
- <Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe.lnk
- <Имя диска съемного носителя>:\chromesetup.exe.lnk
- <Имя диска съемного носителя>:\notepad.exe.lnk
- <Имя диска съемного носителя>:\calc.exe.lnk
- <Имя диска съемного носителя>:\wrar520.exe.lnk
- <Имя диска съемного носителя>:\browse.htm.lnk
- <Имя диска съемного носителя>:\ituneshelpunavailable.htm.lnk
- <Имя диска съемного носителя>:\advice_process.htm.lnk
- <Имя диска съемного носителя>:\trivial-merge.html.lnk
- <Имя диска съемного носителя>:\alert.html.lnk
- <Имя диска съемного носителя>:\tree_view.html.lnk
- <Имя диска съемного носителя>:\parnas_01.jpeg.lnk
- <Имя диска съемного носителя>:\168.jpeg.lnk
- <Имя диска съемного носителя>:\2.jpeg.lnk
- <Имя диска съемного носителя>:\3.jpeg.lnk
- <Имя диска съемного носителя>:\13.jpeg.lnk
- <Имя диска съемного носителя>:\4f0bf7ff71f28.jpeg.lnk
- <Имя диска съемного носителя>:\210252809.jpg.lnk
- <Имя диска съемного носителя>:\2.jpg.lnk
- <Имя диска съемного носителя>:\1189.jpg.lnk
- <Имя диска съемного носителя>:\3.jpg.lnk
- <Имя диска съемного носителя>:\region-north-karelia.jpg.lnk
- <Имя диска съемного носителя>:\pushkin.jpg.lnk
- <Имя диска съемного носителя>:\scan.mov.lnk
- <Имя диска съемного носителя>:\etc6_m_1.mov.lnk
- <Имя диска съемного носителя>:\spanner.mov.lnk
- <Имя диска съемного носителя>:\clip_480_5sec_6mbps_h264.mp4.lnk
- <Имя диска съемного носителя>:\video.mp4.lnk
- <Имя диска съемного носителя>:\video_1.mp4.lnk
- <Имя диска съемного носителя>:\fil_20060629111052.pdf.lnk
- <Имя диска съемного носителя>:\2015-02-patients-topic-work-related-asthma-jobs.pdf.lnk
- <Имя диска съемного носителя>:\dualectls.pdf.lnk
- <Имя диска съемного носителя>:\delongcacert.pem.lnk
- <Имя диска съемного носителя>:\investmentbankca_ca8.pem.lnk
- <Имя диска съемного носителя>:\irgeek.pem.lnk
- <Имя диска съемного носителя>:\systisoft.pem.lnk
- <Имя диска съемного носителя>:\hhhlcert.pem.lnk
- <Имя диска съемного носителя>:\cert.pem.lnk
- <Имя диска съемного носителя>:\tunpersonalca1.pem.lnk
- <Имя диска съемного носителя>:\ck_ugo.pem.lnk
- <Имя диска съемного носителя>:\server.pem.lnk
- <Имя диска съемного носителя>:\cleanlyrics.png.lnk
- <Имя диска съемного носителя>:\arrow-down.png.lnk
- <Имя диска съемного носителя>:\bg_search_box.png.lnk
- <Имя диска съемного носителя>:\block.png.lnk
- <Имя диска съемного носителя>:\dissolveanother.png.lnk
- <Имя диска съемного носителя>:\calibre.png.lnk
- <Имя диска съемного носителя>:\ksearch_esa_talk.ppt.lnk
- <Имя диска съемного носителя>:\mappingconcepthubberlin.ppt.lnk
- <Имя диска съемного носителя>:\file1.ppt.lnk
- <Имя диска съемного носителя>:\writingcompletesarnarrative_1103.ppt.lnk
- <Имя диска съемного носителя>:\sacs_presentation_sacs_qep_improving_rt_education_final.ppt.lnk
- <Имя диска съемного носителя>:\indogerman2010.pptx.lnk
- <Имя диска съемного носителя>:\foaf.rdf.lnk
- <Имя диска съемного носителя>:\skos.rdf.lnk
- <Имя диска съемного носителя>:\swc_2009-03-02.rdf.lnk
- <Имя диска съемного носителя>:\20140114.rdf.lnk
- <Имя диска съемного носителя>:\contenttypes.rdf.lnk
- <Имя диска съемного носителя>:\taxus_baccata.rdf.lnk
- <Имя диска съемного носителя>:\schema.rdf.lnk
- <Имя диска съемного носителя>:\elvisimp.rdf.lnk
- <Имя диска съемного носителя>:\static_electricity_easy_and_quick_activities.rtf.lnk
- <Имя диска съемного носителя>:\waterlandhealthkano.rtf.lnk
- <Имя диска съемного носителя>:\fungalnameauthors.rtf.lnk
- <Имя диска съемного носителя>:\babyboymaintoscenesbackground_pal.wmv.lnk
- <Имя диска съемного носителя>:\testwmv.wmv.lnk
- <Имя диска съемного носителя>:\flower_trans_matte.wmv.lnk
- <Имя диска съемного носителя>:\babyboymaintoscenesbackground.wmv.lnk
- <Имя диска съемного носителя>:\contractualdeadlines.xls.lnk
- <Имя диска съемного носителя>:\price030215.xls.lnk
- <Имя диска съемного носителя>:\disclosuredetails.xlsx.lnk
- <Имя диска съемного носителя>:\cee_mmsprogram_summary_public.xlsx.lnk
- <Имя диска съемного носителя>:\al.xlsx.lnk
- <Имя диска съемного носителя>:\national_autism_preparation_programs.xlsx.lnk
- <Имя диска съемного носителя>:\trtf_matrix2012_oct.xlsx.lnk
- <Имя диска съемного носителя>:\price030215.zip.lnk
- <Имя диска съемного носителя>:\contractualdeadlines.zip.lnk
- <Имя диска съемного носителя>:\productos.zip.lnk
- <Имя диска съемного носителя>:\calculatorworksheet.zip.lnk
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\{9b7028f8-b277-8e9a-a2f9-37ae89f197df}\36cff867.exe
Удаляет файлы, которые сам же создал
- <Имя диска съемного носителя>:\{fe3af57d-02e0-bd83-8085-7921d4c8d48e}\b1d68ea8-9c68-b84e-be35-568f7ca8f202.exe
Подменяет следующие файлы
- <Имя диска съемного носителя>:\{fe3af57d-02e0-bd83-8085-7921d4c8d48e}\b1d68ea8-9c68-b84e-be35-568f7ca8f202.exe
Самоудаляется.
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe' (со скрытым окном)
