Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Client Server Runtime Subsystem' = '"%ALLUSERSPROFILE%\Application Data\Windows\csrss.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Client Server Runtime Subsystem' = '"%ALLUSERSPROFILE%\Application Data\Windows\csrss.exe"'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\README7.txt
- <Имя диска съемного носителя>:\README6.txt
- <Имя диска съемного носителя>:\README8.txt
- <Имя диска съемного носителя>:\README10.txt
- <Имя диска съемного носителя>:\README9.txt
- <Имя диска съемного носителя>:\README2.txt
- <Имя диска съемного носителя>:\README1.txt
- <Имя диска съемного носителя>:\README3.txt
- <Имя диска съемного носителя>:\README5.txt
- <Имя диска съемного носителя>:\README4.txt
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\README8.txt
- %HOMEPATH%\Desktop\README7.txt
- %HOMEPATH%\Desktop\README9.txt
- %ALLUSERSPROFILE%\Desktop\README1.txt
- %HOMEPATH%\Desktop\README10.txt
- %HOMEPATH%\Desktop\README3.txt
- %HOMEPATH%\Desktop\README2.txt
- %HOMEPATH%\Desktop\README4.txt
- %HOMEPATH%\Desktop\README6.txt
- %HOMEPATH%\Desktop\README5.txt
- %ALLUSERSPROFILE%\Desktop\README8.txt
- %ALLUSERSPROFILE%\Desktop\README7.txt
- %ALLUSERSPROFILE%\Desktop\README9.txt
- %APPDATA%\124BDC17124BDC17.bmp
- %ALLUSERSPROFILE%\Desktop\README10.txt
- %ALLUSERSPROFILE%\Desktop\README3.txt
- %ALLUSERSPROFILE%\Desktop\README2.txt
- %ALLUSERSPROFILE%\Desktop\README4.txt
- %ALLUSERSPROFILE%\Desktop\README6.txt
- %ALLUSERSPROFILE%\Desktop\README5.txt
- %ALLUSERSPROFILE%\Application Data\Windows\csrss.exe
- %TEMP%\nsd3.tmp\System.dll
- %TEMP%\6893A5D897\state.tmp
- C:\README2.txt
- C:\README1.txt
- %TEMP%\new1455625491.html
- %TEMP%\nse2.tmp
- %TEMP%\wap.htm
- %TEMP%\jmgpddcel1uG0JMX.16C
- %TEMP%\story.jsp468773399.html
- C:\README9.txt
- C:\README8.txt
- C:\README10.txt
- %HOMEPATH%\Desktop\README1.txt
- %ALLUSERSPROFILE%\Application Data\System32\xfs
- C:\README4.txt
- C:\README3.txt
- C:\README5.txt
- C:\README7.txt
- C:\README6.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\Application Data\System32\xfs
Перемещает следующие файлы:
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\9cAJm15piF6ZuqCw7038iQ==.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions.ini в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\4XojM4LBxQ2+42PNmJt-tXAhO3C5UYcb01Wtwu90uR8=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\localstore.rdf в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\dOsJNgbPqod5dVIDKSzd6jPwVeuv3SBNmQXcizBxPBo=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\pluginreg.dat в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\MNAKCIkr+BlOpy3i9j2KDA-Vs7vgNWLcza0LatGcZSg=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\mimeTypes.rdf в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\eMdA+rndcbmrxpeJ9sU5xAroDaHu6kmIYJFL9BZt9oA=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\compatibility.ini в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\qz8U3-dtXkQrNe5asLZzzXy1lV0pHZeadmUQe2-UZY7VnCB5z4ZnlQY2iYRGo7mg.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Microsoft\Internet Explorer\brndlog.txt в %APPDATA%\Microsoft\Internet Explorer\gIQf9s7YDgIJEfCY70PLo6Lo4bPRsdhcaOSGQn9+hAQ=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Microsoft\Internet Explorer\brndlog.bak в %APPDATA%\Microsoft\Internet Explorer\eq5M9F7-ViRDbv9Cr8kf0WDkfalvonqcf9waGLAD5v0=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\profiles.ini в %APPDATA%\Mozilla\Firefox\ihVlnIuP0iRlsJttoIwmtKZMm2WIjhlTO9hOZ1r6ruw=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\MZMm4iZlwbCmUyKOXysbbw==.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarks.html в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\psCcyci7Cd58gUXGxvvkXYfTv17UZ-eqPcT73A52lW4=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\SgqT5h0MLqeCSgwhw8mBSw==.4D2C567370F33C58A745.da_vinci_code
- %TEMP%\new1455625491.html в %TEMP%\UA3ifnf0NiE9SQFeOf+4DCeSljFVrDKkIPS3m7x+WuUiKhmzD+2Ii+oi6AN0gekp.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userContent-example.css в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\cISGO7KJux1uo1waEIRMtX9e8XlqquDy012H1XVka976A5djGcUsfbVCAOo-DxhY.4D2C567370F33C58A745.da_vinci_code
- %TEMP%\story.jsp468773399.html в %TEMP%\Yp5g3W0qVBQST7AjtfUceBlSzr4hvHzyToD6-N09ZdK4eEnkIxaB6SLk5arYslFy.4D2C567370F33C58A745.da_vinci_code
- %TEMP%\6893A5D897\state.tmp в %TEMP%\6893A5D897\state
- %TEMP%\wap.htm в %TEMP%\dCyZ5mdyDzMFNgZ59Ye7XA==.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userChrome-example.css в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\AOaTgaQAL8MESGcUXRcIWE83xUglqNjT4wQzD-0NmwqPrBbIUGJLtspEukWhX59O.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\+WGiEYZDaaMlBAlPpTGBaAbInpQCJNIdqXtndaHYfJ0=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\search.json в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\uW1snV2Y9cj4OhW8GXKxg80P5z7e87evhVBjRgY3ORI=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\nWZY0buryhUQ6eaV31cxksLZ7C4hd8kUVxBRQzH+6Fg=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarkbackups\bookmarks-2011-11-10.json в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarkbackups\ccN2fedODi2dLd7CBor6OwzZjcLz9VMPuLtHD58rhW6+LZQPqSQgyuPgSIPqDmlfxxsqYLIVqcIlZJH0ecPNcA==.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.js в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\TCDHxKImw4cqhQQfCVLcuBVQtdq0WiLB518tbRAZpqk=.4D2C567370F33C58A745.da_vinci_code
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность:
Подключается к:
- '19#.#09.206.212':443
- '76.##.17.194':9090
- 'localhost':1037
- '13#.#88.40.189':443
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
