Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '2baby' = '"%APPDATA%\payday.hta"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1payday' = '"%APPDATA%\payday.hta"'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\Shortcut to startup_local.lnk
- %HOMEPATH%\Start Menu\Programs\Startup\desktop.ini
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\desktop.ini
Заражает следующие исполняемые файлы:
- C:\Far2\Plugins\Compare\Compare.dll
- C:\Far2\Plugins\DrawLine\DrawLine.dll
- C:\Far2\Plugins\EditCase\EditCase.dll
- C:\Far2\Plugins\Colorer\bin\colorer.dll
- C:\Far2\Plugins\arclite\arclite.dll
- C:\Far2\Plugins\AutoWrap\AutoWrap.dll
- C:\Far2\Plugins\Brackets\Brackets.dll
- C:\Far2\Plugins\FTP\FarFtp.dll
- C:\Far2\Plugins\FTP\lib\ftpDirList.fll
- C:\Far2\Plugins\FTP\lib\ftpProgress.fll
- C:\Far2\Plugins\FileCase\FileCase.dll
- C:\Far2\Plugins\EMenu\EMenu.dll
- C:\Far2\Plugins\ExtSearch\esearch.dll
- C:\Far2\Plugins\FarCmds\FARCmds.dll
- C:\Far2\Plugins\7-Zip\7-ZipFar.dll
- C:\Far2\Plugins\7-Zip\7-ZipFar64.dll
- C:\Far2\Plugins\7-Zip\7z.dll
- C:\Far2\FExcept\FExcept.dll
- C:\Far2\Far.exe
- C:\Far2\FExcept\demangle32.dll
- C:\Far2\FExcept\ExcDump.dll
- C:\Far2\Plugins\arclite\7zS2.sfx
- C:\Far2\Plugins\arclite\7zS2con.sfx
- C:\Far2\Plugins\arclite\7zSD.sfx
- C:\Far2\Plugins\arclite\7zCon.sfx
- C:\Far2\Plugins\Align\Align.dll
- C:\Far2\Plugins\arclite\7z.dll
- C:\Far2\Plugins\arclite\7z.sfx
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\cmd.exe' /c bcdedit.exe /set {default} recoveryenabled No
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe Delete Shadows /All /Quiet
Изменения в файловой системе:
Создает следующие файлы:
- C:\!! RETURN FILES !!.txt
- %APPDATA%\payday.hta
Перемещает следующие файлы:
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\mimeTypes.rdf в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\mimeTypes.rdf.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\localstore.rdf в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\localstore.rdf.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\permissions.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\permissions.sqlite.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\pluginreg.dat в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\pluginreg.dat.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\places.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\places.sqlite.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions.ini в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions.ini.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\downloads.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\downloads.sqlite.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions.sqlite.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\formhistory.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\formhistory.sqlite.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\signons.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\signons.sqlite.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.js в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.js.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\webappsstore.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\webappsstore.sqlite.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\winscp.rnd в %APPDATA%\winscp.rnd.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\profiles.ini в %APPDATA%\Mozilla\Firefox\profiles.ini.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\search.json в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\search.json.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\search.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\search.sqlite.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\desktop.ini в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\desktop.ini.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Microsoft\Internet Explorer\Desktop.htt в %APPDATA%\Microsoft\Internet Explorer\Desktop.htt.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Windows Media Player.lnk в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Windows Media Player.lnk.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Show Desktop.scf в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Show Desktop.scf.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Microsoft\Address Book\%USERNAME%.wab в %APPDATA%\Microsoft\Address Book\%USERNAME%.wab.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\desktop.ini в %APPDATA%\desktop.ini.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Microsoft\Address Book\%USERNAME%.wab~ в %APPDATA%\Microsoft\Address Book\%USERNAME%.wab~.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Microsoft\Internet Explorer\brndlog.txt в %APPDATA%\Microsoft\Internet Explorer\brndlog.txt.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Microsoft\Internet Explorer\brndlog.bak в %APPDATA%\Microsoft\Internet Explorer\brndlog.bak.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chromeappsstore.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chromeappsstore.sqlite.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userContent-example.css в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userContent-example.css.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\compatibility.ini в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\compatibility.ini.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cookies.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cookies.sqlite.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\content-prefs.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\content-prefs.sqlite.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarkbackups\bookmarks-2011-11-10.json в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarkbackups\bookmarks-2011-11-10.json.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Microsoft\Media Player\0007F0B7.wpl в %APPDATA%\Microsoft\Media Player\0007F0B7.wpl.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarks.html в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarks.html.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userChrome-example.css в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userChrome-example.css.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db.[lockers@tutamail.com or lockers@protonmail.com]-id-B10.payday
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
