Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Client Server Runtime Subsystem' = '"%ALLUSERSPROFILE%\Application Data\Windows\csrss.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Client Server Runtime Subsystem' = '"%ALLUSERSPROFILE%\Application Data\Windows\csrss.exe"'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\README7.txt
- <Имя диска съемного носителя>:\README6.txt
- <Имя диска съемного носителя>:\README8.txt
- <Имя диска съемного носителя>:\README10.txt
- <Имя диска съемного носителя>:\README9.txt
- <Имя диска съемного носителя>:\README2.txt
- <Имя диска съемного носителя>:\README1.txt
- <Имя диска съемного носителя>:\README3.txt
- <Имя диска съемного носителя>:\README5.txt
- <Имя диска съемного носителя>:\README4.txt
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\README5.txt
- %HOMEPATH%\Desktop\README4.txt
- %HOMEPATH%\Desktop\README3.txt
- %HOMEPATH%\Desktop\README8.txt
- %HOMEPATH%\Desktop\README7.txt
- %HOMEPATH%\Desktop\README6.txt
- C:\README10.txt
- C:\README9.txt
- C:\README8.txt
- %HOMEPATH%\Desktop\README2.txt
- %HOMEPATH%\Desktop\README1.txt
- %ALLUSERSPROFILE%\Application Data\System32\xfs
- %HOMEPATH%\Desktop\README9.txt
- %ALLUSERSPROFILE%\Desktop\README8.txt
- %ALLUSERSPROFILE%\Desktop\README7.txt
- %ALLUSERSPROFILE%\Desktop\README6.txt
- %APPDATA%\C167AE53C167AE53.bmp
- %ALLUSERSPROFILE%\Desktop\README10.txt
- %ALLUSERSPROFILE%\Desktop\README9.txt
- %ALLUSERSPROFILE%\Desktop\README2.txt
- %ALLUSERSPROFILE%\Desktop\README1.txt
- %HOMEPATH%\Desktop\README10.txt
- %ALLUSERSPROFILE%\Desktop\README5.txt
- %ALLUSERSPROFILE%\Desktop\README4.txt
- %ALLUSERSPROFILE%\Desktop\README3.txt
- C:\README7.txt
- %TEMP%\4halfsterren.png
- %TEMP%\City+Seal+Original.gif
- %TEMP%\bl_bar.gif
- %TEMP%\submit;_ylt=AwrBT705VwBY7QIAVLABAAAA1972602790.html
- %TEMP%\202588574-I-lost-my-Van-Heusen-Rewards-card-can-you-send-another-
- %TEMP%\foundation.min.css
- %TEMP%\sign_up
- %TEMP%\submit;_ylt=AwrBT9pEVwBY7NQA.44BAAAA189732380.html
- %TEMP%\nsy2.tmp
- %TEMP%\3436
- %TEMP%\realestate.js
- %TEMP%\Compress.aspx
- %TEMP%\qwp7tvi.js
- C:\README3.txt
- C:\README2.txt
- C:\README1.txt
- C:\README6.txt
- C:\README5.txt
- C:\README4.txt
- %TEMP%\JMpux25FOJYtc.mVfM
- %TEMP%\code_updates.aspx
- %TEMP%\submit.html;_ylt=AwrBT705VwBY7QIAVLABAAAA
- %TEMP%\6893A5D897\state.tmp
- %ALLUSERSPROFILE%\Application Data\Windows\csrss.exe
- %TEMP%\nsv3.tmp\System.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\Application Data\System32\xfs
Перемещает следующие файлы:
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\pluginreg.dat в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\3IwJD6nyaYvUP8Qb7UtB45hUFdNlUWSjAsmv56w8jIY=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\mimeTypes.rdf в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\aD6F4dRhYef57bziNhIpSrt9YkZtnNY2NAO4jxE36P0=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\localstore.rdf в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\g-xCzKW+aU6iLSybCy0DVTaHr5ll2eR-FRSWPDib22g=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\4Lv1fbqD7xJHH9+T1gj9YQ==.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\Ds+f8UpnE+HBPNoW6ot6wV9tzavsxgybTpbbVTz2GvM=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\PM0oSLjXZTQH7q7CX+3ajCg4pk5jfk+K+OwW5MkiaaM=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\search.json в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\mX+Evh9dpFuzujOtErB333EiEElOUQxC+1MZOPZVE94=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\9YBHMJxzYWX4xGNsqq4pyQ==.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\profiles.ini в %APPDATA%\Mozilla\Firefox\YCm+Va7AicQ4oERjR7y4rrGJESfmutC95p7T7rgKNcM=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Microsoft\Internet Explorer\brndlog.txt в %APPDATA%\Microsoft\Internet Explorer\3KmEDR20HlMiT16PK0+YFphu8a9aCllL0s9CUkMqx+o=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Microsoft\Internet Explorer\brndlog.bak в %APPDATA%\Microsoft\Internet Explorer\UI0j2kGu-bC7PuZk90-CJ7WUq6C+XgOEoD+fA+7JUTU=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarks.html в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\+EWLVG5WtjZXWQPKgJQvSM9oJB7OcUmc24Pw4OOpx-w=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions.ini в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\G+QyAO8V4RecpIw66R7ByK-K3Z2wiLPEBpjUw+rZatw=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\compatibility.ini в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\409lW1LJ6h6aGoDoSVrgroEM31QsyVVZPNRH5XuO+0087cqLpbMEw2lQ8uIqTACF.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\iP6ctGQJm9mvQFCiS2p2qg==.4D2C567370F33C58A745.da_vinci_code
- %TEMP%\qwp7tvi.js в %TEMP%\WED0V8kPlIgp+COJElxY9hY2pTBTKL61gRqgzOlkP0E=.4D2C567370F33C58A745.da_vinci_code
- %TEMP%\foundation.min.css в %TEMP%\70pUtWspMcDaEO9Ug7RCK6ldv1iA+bHY48JYMh8Eq439jCbhQCNfHa3Fq1BD2Gci.4D2C567370F33C58A745.da_vinci_code
- %TEMP%\Compress.aspx в %TEMP%\9MgxzQFzbzLWeR0uVhJRSo6yAbW4mG-RnnnSKgqFjdw=.4D2C567370F33C58A745.da_vinci_code
- %TEMP%\realestate.js в %TEMP%\3hZyXdpPeOtEDkch7L5CbDt1hpG2mHkT2htRHS1Bvtk=.4D2C567370F33C58A745.da_vinci_code
- %TEMP%\6893A5D897\state.tmp в %TEMP%\6893A5D897\state
- %TEMP%\submit;_ylt=AwrBT9pEVwBY7NQA.44BAAAA189732380.html в %TEMP%\1wGyKgzcMNSneeVmj89hddzsC3J6heukXrmtNiPoVmDdTETdv+RFNHiGo-Fj70j3856G32dC9q4AsOsj-o9c7rRdCrUh8Ib75fB1b4ImSQrBDt7MQmphEAsV+LWMMHvpzqtvby5cjq1g5O3XWQdaiw==.4D2C567370F33C58A745.da_vinci_cod...
- %TEMP%\submit;_ylt=AwrBT705VwBY7QIAVLABAAAA1972602790.html в %TEMP%\4Q8+5cR6epcslYR8nzkFohX1MwYXAXbS+HfD9TmIQmPubPuhZDiSh0nTS9cCa6Gb4CAi19C6sBrM+G4e1W80owVQp6OFvSq5uZrnwWg54x3Bq+XmkWg216ZFtjAb+iaqK+eptZqZvuVrYVjml4jq-Q==.4D2C567370F33C58A745.da_vinci_cod...
- %TEMP%\code_updates.aspx в %TEMP%\jjjXgI0cuLtG2Q9CK-NJ50e+gnywJ1QXPLJm0CDPYICE6Wh2eKLfwLOEdUPEntci.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userChrome-example.css в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\KNtbIO8qtsNFiq+3Y7loFRbwnrR2g8gqAQ1uqxk53cI+i+upbKLVXlnmsiLukCV6.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarkbackups\bookmarks-2011-11-10.json в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarkbackups\cVPE9kaROFfsagigqGWeeEH0cyDJkb0KIVKq1sZG4f3JZzZhnf-mo9Hv32mTbOu+iQ5sIC1caePP0pBzI9UvTA==.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.js в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\Hrb83Gcfe7Dl2hASeJtuTKJKO2n60r7qiXLONBMlfjA=.4D2C567370F33C58A745.da_vinci_code
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userContent-example.css в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\AOzwIvu9pyx4W2qE3QVKT0SwkvC3Paz8Wjqs9ZCH5cf5ZdvJa8Lh1QthzxUWlB4i.4D2C567370F33C58A745.da_vinci_code
- %TEMP%\City+Seal+Original.gif в %TEMP%\NEasm-iLPKC+gR+dyOFubC2kbbHF59Lqqquoe7f31X2czI2c11SXDuR4O4FZpLxn.4D2C567370F33C58A745.da_vinci_code
- %TEMP%\bl_bar.gif в %TEMP%\kHj2aAmaE+XI35Y6ejSsBXcET64AB7nZbmZxw583EiQ=.4D2C567370F33C58A745.da_vinci_code
- %TEMP%\4halfsterren.png в %TEMP%\97x5bLGW1JLDsT+1dqro3m5T-pLzvT4j5u6Fx5HyWL0=.4D2C567370F33C58A745.da_vinci_code
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность:
Подключается к:
- '12#.31.0.39':9101
- '86.#9.21.38':443
- 'localhost':1037
- '17#.#5.193.9':80
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
