Trojan.Encoder.15138

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'falrqtcr472' = '"<Текущая директория>\tasksche.exe"'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Создает и запускает на исполнение:

'<Текущая директория>\taskse.exe' <Текущая директория>\@WanaDecryptor@.exe
'<Текущая директория>\@WanaDecryptor@.exe'
'<Текущая директория>\TaskData\Tor\taskhsvc.exe'
'<Текущая директория>\taskdl.exe'
'<Текущая директория>\@WanaDecryptor@.exe' co
'<Текущая директория>\@WanaDecryptor@.exe' vs

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' /f /im MSExchange*
'<SYSTEM32>\taskkill.exe' /f /im Microsoft.Exchange.*
'<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog ...
'<SYSTEM32>\taskkill.exe' /f /im mysqld.exe
'<SYSTEM32>\taskkill.exe' /f /im sqlwriter.exe
'<SYSTEM32>\taskkill.exe' /f /im sqlserver.exe
'<SYSTEM32>\cscript.exe' //nologo m.vbs
'<SYSTEM32>\cmd.exe' /c 88651510161498.bat
'<SYSTEM32>\attrib.exe' +h .
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "falrqtcr472" /t REG_SZ /d "\"<Текущая директория>\tasksche.exe\"" /f
'<SYSTEM32>\cmd.exe' /c reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "falrqtcr472" /t REG_SZ /d "\"<Текущая директория>\tasksche.exe\"" /f
'<SYSTEM32>\cmd.exe' /c start /b @WanaDecryptor@.exe vs

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js.WNCRYT
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db.WNCRYT
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db.WNCRYT
%HOMEPATH%\Templates\quattro.wb2.WNCRYT
<LS_APPDATA>\IconCache.db.WNCRYT
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db.WNCRYT
<STUBS_DIR>\@Please_Read_Me@.txt
<STUBS_DIR>\list_full.txt.WNCRYT
C:\Far2\PluginSDK\Headers.pas\@WanaDecryptor@.exe
C:\Documents and Settings\Default User\Templates\quattro.wb2.WNCRYT
C:\startup_local.bat.WNCRYT
<STUBS_DIR>\@WanaDecryptor@.exe
C:\Far2\Addons\Colors\import_colors.bat.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\RegExp\CLOCALE.CPP.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtSearchReg.cpp.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtSearchMix.cpp.WNCRYT
<Текущая директория>\f.wnry
C:\Far2\Plugins\ExtSearch\sources\RegExp\CREGEXP.CPP.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\RegExp\CLOCALE.H.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtChCase.cpp.WNCRYT
C:\Far2\Plugins\Colorer\hrc\auto\types\auto.jar.WNCRYT
C:\Far2\Plugins\Colorer\hrc\common.jar.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtSearch.cpp.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtRegExp.cpp.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtMenu.cpp.WNCRYT
C:\Far2\Plugins\ExtSearch\doc\ENG_READ.TXT.WNCRYT
C:\Far2\Plugins\ExtSearch\doc\ENG_NEWS.TXT.WNCRYT
C:\Far2\Plugins\Colorer\hrc\@WanaDecryptor@.exe.lnk
C:\Far2\Plugins\ExtSearch\doc\RUS_READ.TXT.WNCRYT
C:\Far2\Plugins\ExtSearch\doc\RUS_NEWS.TXT.WNCRYT
C:\Far2\Plugins\ExtSearch\doc\REGEXPS.TXT.WNCRYT
C:\Far2\Plugins\7-Zip\@Please_Read_Me@.txt
C:\Far2\Plugins\7-Zip\far7z.txt.WNCRYT
C:\Far2\Documentation\rus\@WanaDecryptor@.exe
C:\Far2\Plugins\Colorer\hrc\@Please_Read_Me@.txt
C:\Far2\Plugins\Colorer\hrc\changes.txt.WNCRYT
C:\Far2\Plugins\7-Zip\@WanaDecryptor@.exe
C:\Far2\Plugins\ExtSearch\doc\@Please_Read_Me@.txt
C:\Far2\Plugins\FTP\Notes_rus.txt.WNCRYT
C:\Far2\Plugins\FTP\Notes.txt.WNCRYT
C:\Far2\Plugins\FTP\FtpCmds_rus.txt.WNCRYT
C:\Far2\PluginSDK\Headers.pas\@Please_Read_Me@.txt
C:\Far2\Plugins\FTP\@WanaDecryptor@.exe
C:\Far2\Plugins\FTP\@Please_Read_Me@.txt
C:\Far2\Plugins\ExtSearch\sources\@WanaDecryptor@.exe.lnk
C:\Far2\Plugins\ExtSearch\sources\@Please_Read_Me@.txt
C:\Far2\Plugins\ExtSearch\doc\@WanaDecryptor@.exe.lnk
C:\Far2\Plugins\FTP\FtpCmds.txt.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\RegExp\@WanaDecryptor@.exe.lnk
C:\Far2\Plugins\ExtSearch\sources\RegExp\@Please_Read_Me@.txt
%ALLUSERSPROFILE%\Desktop\@WanaDecryptor@.bmp
<STUBS_DIR>\runall.bat.WNCRYT
<STUBS_DIR>\proc_tools.txt.WNCRYT
C:\Documents and Settings\Default User\Desktop\@WanaDecryptor@.exe
C:\Documents and Settings\Default User\Desktop\@WanaDecryptor@.bmp
%ALLUSERSPROFILE%\Desktop\@WanaDecryptor@.exe
<STUBS_DIR>\proc_browsers.txt.WNCRYT
<STUBS_DIR>\proc_banks.txt.WNCRYT
<STUBS_DIR>\proc_av.txt.WNCRYT
<STUBS_DIR>\proc_im.txt.WNCRYT
<STUBS_DIR>\proc_games.txt.WNCRYT
<STUBS_DIR>\proc_fake.txt.WNCRYT
%HOMEPATH%\Desktop\@WanaDecryptor@.bmp
<Текущая директория>\TaskData\Tor\tor.exe
<Текущая директория>\TaskData\Tor\ssleay32.dll
<Текущая директория>\TaskData\Tor\libssp-0.dll
%APPDATA%\tor\state.tmp
<Текущая директория>\TaskData\Tor\taskhsvc.exe
<Текущая директория>\TaskData\Tor\zlib1.dll
<Текущая директория>\TaskData\Tor\libevent-2-0-5.dll
<Текущая директория>\TaskData\Tor\libeay32.dll
%HOMEPATH%\Desktop\@WanaDecryptor@.exe
<Текущая директория>\TaskData\Tor\libgcc_s_sjlj-1.dll
<Текущая директория>\TaskData\Tor\libevent_extra-2-0-5.dll
<Текущая директория>\TaskData\Tor\libevent_core-2-0-5.dll
C:\Documents and Settings\Default User\Application Data\Microsoft\Internet Explorer\brndlog.txt.WNCRYT
C:\Documents and Settings\Default User\Application Data\Microsoft\Internet Explorer\brndlog.bak.WNCRYT
<Текущая директория>\m.vbs.WNCRYT
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak.WNCRYT
%APPDATA%\Microsoft\Internet Explorer\brndlog.bak.WNCRYT
C:\Documents and Settings\Default User\Templates\sndrec.wav.WNCRYT
C:\Far2\PluginSDK\Headers.pas\FarKeysW.pas.WNCRYT
C:\Far2\PluginSDK\Headers.pas\FarColorW.pas.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\RegExp\CREGEXP.H.WNCRYT
<Текущая директория>\88651510161498.bat.WNCRYT
C:\AUTOEXEC.BAT.WNCRYT
C:\Far2\PluginSDK\Headers.pas\PluginW.pas.WNCRYT
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.js.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ESEARCH.BAT.WNCRYT
C:\Far2\Addons\Colors\Default Highlighting\import_colors.bat.WNCRYT
C:\Far2\Addons\Colors\Custom Highlighting\import_colors.bat.WNCRYT
<STUBS_DIR>\list_short.txt.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtClipBoard.cpp.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\esearch_debug.bat.WNCRYT
C:\Far2\RestoreSettings.cmd.WNCRYT
C:\Far2\ClearPluginsCache.cmd.WNCRYT
%HOMEPATH%\Templates\sndrec.wav.WNCRYT
C:\Far2\Addons\Colors\export_colors.bat.WNCRYT
C:\Far2\Addons\README.TXT.WNCRYT
C:\Far2\SaveSettings.cmd.WNCRYT
<Текущая директория>\taskdl.exe
<Текущая директория>\t.wnry
<Текущая директория>\s.wnry
<Текущая директория>\00000000.pky
<Текущая директория>\u.wnry
<Текущая директория>\taskse.exe
<Текущая директория>\msg\m_swedish.wnry
<Текущая директория>\msg\m_spanish.wnry
<Текущая директория>\msg\m_slovak.wnry
<Текущая директория>\r.wnry
<Текущая директория>\msg\m_vietnamese.wnry
<Текущая директория>\msg\m_turkish.wnry
<Текущая директория>\00000000.eky
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Water lilies.jpg.WNCRYT
<Текущая директория>\m.vbs
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Sunset.jpg.WNCRYT
%ALLUSERSPROFILE%\Documents\My Music\Sample Music\Beethoven's Symphony No. 9 (Scherzo).wma.WNCRYT
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\@Please_Read_Me@.txt
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Winter.jpg.WNCRYT
<Текущая директория>\88651510161498.bat
<Текущая директория>\@WanaDecryptor@.exe
<Текущая директория>\00000000.res
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Blue hills.jpg.WNCRYT
%ALLUSERSPROFILE%\Documents\My Music\Sample Music\@Please_Read_Me@.txt
<Текущая директория>\@Please_Read_Me@.txt
<Текущая директория>\msg\m_dutch.wnry
<Текущая директория>\msg\m_danish.wnry
<Текущая директория>\msg\m_czech.wnry
<Текущая директория>\msg\m_finnish.wnry
<Текущая директория>\msg\m_filipino.wnry
<Текущая директория>\msg\m_english.wnry
<Текущая директория>\msg\m_bulgarian.wnry
<Текущая директория>\c.wnry
<Текущая директория>\b.wnry
<Текущая директория>\msg\m_croatian.wnry
<Текущая директория>\msg\m_chinese (traditional).wnry
<Текущая директория>\msg\m_chinese (simplified).wnry
<Текущая директория>\msg\m_french.wnry
<Текущая директория>\msg\m_polish.wnry
<Текущая директория>\msg\m_norwegian.wnry
<Текущая директория>\msg\m_latvian.wnry
<Текущая директория>\msg\m_russian.wnry
<Текущая директория>\msg\m_romanian.wnry
<Текущая директория>\msg\m_portuguese.wnry
<Текущая директория>\msg\m_indonesian.wnry
<Текущая директория>\msg\m_greek.wnry
<Текущая директория>\msg\m_german.wnry
<Текущая директория>\msg\m_korean.wnry
<Текущая директория>\msg\m_japanese.wnry
<Текущая директория>\msg\m_italian.wnry
C:\Far2\Addons\Colors\Default Highlighting\@Please_Read_Me@.txt
C:\Far2\Addons\Colors\Custom Highlighting\@WanaDecryptor@.exe.lnk
C:\Far2\Addons\Colors\Custom Highlighting\@Please_Read_Me@.txt
C:\Far2\Documentation\eng\Bug.Report.txt.WNCRYT
C:\Far2\Documentation\eng\Arc.Support.txt.WNCRYT
C:\Far2\Addons\Colors\Default Highlighting\@WanaDecryptor@.exe.lnk
C:\Far2\Addons\@Please_Read_Me@.txt
C:\Far2\@WanaDecryptor@.exe
C:\Far2\@Please_Read_Me@.txt
C:\Far2\Addons\Colors\@WanaDecryptor@.exe
C:\Far2\Addons\Colors\@Please_Read_Me@.txt
C:\Far2\Addons\@WanaDecryptor@.exe
C:\Far2\Documentation\eng\Far.FAQ.txt.WNCRYT
C:\Far2\Documentation\rus\Plugins.Install.txt.WNCRYT
C:\Far2\Documentation\rus\Far.FAQ.txt.WNCRYT
C:\Far2\Documentation\rus\Bug.Report.txt.WNCRYT
C:\Far2\Documentation\rus\@Please_Read_Me@.txt
C:\Far2\Documentation\rus\TechInfo.txt.WNCRYT
C:\Far2\Documentation\rus\Plugins.Review.txt.WNCRYT
C:\Far2\Documentation\eng\TechInfo.txt.WNCRYT
C:\Far2\Documentation\eng\Plugins.Review.txt.WNCRYT
C:\Far2\Documentation\eng\Plugins.Install.txt.WNCRYT
C:\Far2\Documentation\rus\Arc.Support.txt.WNCRYT
C:\Far2\Documentation\eng\@WanaDecryptor@.exe
C:\Far2\Documentation\eng\@Please_Read_Me@.txt
C:\Documents and Settings\Default User\Templates\powerpnt.ppt.WNCRYT
C:\Documents and Settings\Default User\Templates\excel4.xls.WNCRYT
<Текущая директория>\@WanaDecryptor@.exe.lnk
C:\Documents and Settings\Default User\Templates\@Please_Read_Me@.txt
C:\Documents and Settings\Default User\Templates\winword2.doc.WNCRYT
C:\Documents and Settings\Default User\Templates\winword.doc.WNCRYT
C:\@WanaDecryptor@.exe
C:\@Please_Read_Me@.txt
%ALLUSERSPROFILE%\Documents\My Music\Sample Music\New Stories (Highway Blues).wma.WNCRYT
C:\Documents and Settings\Default User\Templates\excel.xls.WNCRYT
C:\Documents and Settings\Default User\Application Data\Microsoft\Internet Explorer\@Please_Read_Me@.txt
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\@Please_Read_Me@.txt
C:\Documents and Settings\Default User\Templates\@WanaDecryptor@.exe
%HOMEPATH%\Templates\winword.doc.WNCRYT
%HOMEPATH%\Templates\powerpnt.ppt.WNCRYT
%HOMEPATH%\Templates\excel4.xls.WNCRYT
%HOMEPATH%\Templates\@WanaDecryptor@.exe
%HOMEPATH%\Templates\@Please_Read_Me@.txt
%HOMEPATH%\Templates\winword2.doc.WNCRYT
%APPDATA%\Microsoft\Internet Explorer\@WanaDecryptor@.exe.lnk
%APPDATA%\Microsoft\Internet Explorer\@Please_Read_Me@.txt
%APPDATA%\Microsoft\Internet Explorer\brndlog.txt.WNCRYT
%HOMEPATH%\Templates\excel.xls.WNCRYT
<LS_APPDATA>\@WanaDecryptor@.exe.lnk
<LS_APPDATA>\@Please_Read_Me@.txt

Удаляет следующие файлы:

<Текущая директория>\m.vbs

Перемещает следующие файлы:

%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\beach.bmp в %TEMP%\51.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\ball.bmp в %TEMP%\50.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\astronaut.bmp в %TEMP%\49.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\cat.bmp в %TEMP%\54.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\car.bmp в %TEMP%\53.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\butterfly.bmp в %TEMP%\52.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\airplane.bmp в %TEMP%\48.WNCRYT
<STUBS_DIR>\list_full.txt в %TEMP%\44.WNCRYT
C:\Far2\Plugins\FTP\Notes_rus.txt в %TEMP%\43.WNCRYT
C:\Far2\Plugins\FTP\Notes.txt в %TEMP%\42.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\%USERNAME%.bmp в %TEMP%\47.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\guest.bmp в %TEMP%\46.WNCRYT
C:\startup_local.bat в %TEMP%\45.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\kick.bmp в %TEMP%\64.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\horses.bmp в %TEMP%\63.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\guitar.bmp в %TEMP%\62.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\pink flower.bmp в %TEMP%\67.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\palm tree.bmp в %TEMP%\66.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\lift-off.bmp в %TEMP%\65.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\frog.bmp в %TEMP%\61.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\dog.bmp в %TEMP%\57.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\dirt bike.bmp в %TEMP%\56.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\chess.bmp в %TEMP%\55.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\fish.bmp в %TEMP%\60.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\duck.bmp в %TEMP%\59.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\drip.bmp в %TEMP%\58.WNCRYT
C:\Far2\Plugins\FTP\FtpCmds_rus.txt в %TEMP%\41.WNCRYT
C:\Far2\Documentation\eng\Plugins.Install.txt в %TEMP%\24.WNCRYT
C:\Far2\Documentation\eng\Far.FAQ.txt в %TEMP%\23.WNCRYT
C:\Far2\Documentation\eng\Bug.Report.txt в %TEMP%\22.WNCRYT
C:\Far2\Documentation\rus\Arc.Support.txt в %TEMP%\27.WNCRYT
C:\Far2\Documentation\eng\TechInfo.txt в %TEMP%\26.WNCRYT
C:\Far2\Documentation\eng\Plugins.Review.txt в %TEMP%\25.WNCRYT
C:\Far2\Documentation\eng\Arc.Support.txt в %TEMP%\21.WNCRYT
%HOMEPATH%\Templates\excel4.xls в %TEMP%\17.WNCRYT
%HOMEPATH%\Templates\excel.xls в %TEMP%\16.WNCRYT
%APPDATA%\Microsoft\Internet Explorer\brndlog.txt в %TEMP%\15.WNCRYT
%HOMEPATH%\Templates\winword2.doc в %TEMP%\20.WNCRYT
%HOMEPATH%\Templates\winword.doc в %TEMP%\19.WNCRYT
%HOMEPATH%\Templates\powerpnt.ppt в %TEMP%\18.WNCRYT
C:\Far2\Plugins\ExtSearch\doc\REGEXPS.TXT в %TEMP%\37.WNCRYT
C:\Far2\Plugins\ExtSearch\doc\ENG_READ.TXT в %TEMP%\36.WNCRYT
C:\Far2\Plugins\ExtSearch\doc\ENG_NEWS.TXT в %TEMP%\35.WNCRYT
C:\Far2\Plugins\FTP\FtpCmds.txt в %TEMP%\40.WNCRYT
C:\Far2\Plugins\ExtSearch\doc\RUS_READ.TXT в %TEMP%\39.WNCRYT
C:\Far2\Plugins\ExtSearch\doc\RUS_NEWS.TXT в %TEMP%\38.WNCRYT
C:\Far2\Plugins\Colorer\hrc\changes.txt в %TEMP%\34.WNCRYT
C:\Far2\Documentation\rus\Plugins.Install.txt в %TEMP%\30.WNCRYT
C:\Far2\Documentation\rus\Far.FAQ.txt в %TEMP%\29.WNCRYT
C:\Far2\Documentation\rus\Bug.Report.txt в %TEMP%\28.WNCRYT
C:\Far2\Plugins\7-Zip\far7z.txt в %TEMP%\33.WNCRYT
C:\Far2\Documentation\rus\TechInfo.txt в %TEMP%\32.WNCRYT
C:\Far2\Documentation\rus\Plugins.Review.txt в %TEMP%\31.WNCRYT
C:\Far2\SaveSettings.cmd в %TEMP%\108.WNCRYT
C:\Far2\RestoreSettings.cmd в %TEMP%\107.WNCRYT
C:\Far2\ClearPluginsCache.cmd в %TEMP%\106.WNCRYT
C:\Far2\Addons\Colors\Custom Highlighting\import_colors.bat в %TEMP%\111.WNCRYT
C:\Far2\Addons\Colors\export_colors.bat в %TEMP%\110.WNCRYT
C:\Far2\Addons\README.TXT в %TEMP%\109.WNCRYT
%HOMEPATH%\Templates\sndrec.wav в %TEMP%\105.WNCRYT
C:\Documents and Settings\Default User\Templates\sndrec.wav в %TEMP%\101.WNCRYT
C:\Documents and Settings\Default User\Application Data\Microsoft\Internet Explorer\brndlog.txt в %TEMP%\100.WNCRYT
C:\Documents and Settings\Default User\Application Data\Microsoft\Internet Explorer\brndlog.bak в %TEMP%\99.WNCRYT
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.js в %TEMP%\104.WNCRYT
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak в %TEMP%\103.WNCRYT
%APPDATA%\Microsoft\Internet Explorer\brndlog.bak в %TEMP%\102.WNCRYT
<STUBS_DIR>\proc_games.txt в %TEMP%\121.WNCRYT
<STUBS_DIR>\proc_fake.txt в %TEMP%\120.WNCRYT
<STUBS_DIR>\proc_browsers.txt в %TEMP%\119.WNCRYT
<STUBS_DIR>\runall.bat в %TEMP%\124.WNCRYT
<STUBS_DIR>\proc_tools.txt в %TEMP%\123.WNCRYT
<STUBS_DIR>\proc_im.txt в %TEMP%\122.WNCRYT
<STUBS_DIR>\proc_banks.txt в %TEMP%\118.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\esearch_debug.bat в %TEMP%\114.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ESEARCH.BAT в %TEMP%\113.WNCRYT
C:\Far2\Addons\Colors\Default Highlighting\import_colors.bat в %TEMP%\112.WNCRYT
<STUBS_DIR>\proc_av.txt в %TEMP%\117.WNCRYT
<STUBS_DIR>\list_short.txt в %TEMP%\116.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtClipBoard.cpp в %TEMP%\115.WNCRYT
C:\AUTOEXEC.BAT в %TEMP%\96.WNCRYT
%HOMEPATH%\Templates\quattro.wb2 в %TEMP%\79.WNCRYT
<LS_APPDATA>\IconCache.db в %TEMP%\78.WNCRYT
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db в %TEMP%\77.WNCRYT
C:\Far2\Plugins\Colorer\hrc\auto\types\auto.jar в %TEMP%\82.WNCRYT
C:\Far2\Plugins\Colorer\hrc\common.jar в %TEMP%\81.WNCRYT
C:\Far2\Addons\Colors\import_colors.bat в %TEMP%\80.WNCRYT
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js в %TEMP%\76.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\snowflake.bmp в %TEMP%\70.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\skater.bmp в %TEMP%\69.WNCRYT
%ALLUSERSPROFILE%\Application Data\Microsoft\User Account Pictures\Default Pictures\red flower.bmp в %TEMP%\68.WNCRYT
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db в %TEMP%\75.WNCRYT
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db в %TEMP%\74.WNCRYT
C:\Documents and Settings\Default User\Templates\quattro.wb2 в %TEMP%\73.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\RegExp\CREGEXP.H в %TEMP%\92.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\RegExp\CREGEXP.CPP в %TEMP%\91.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\RegExp\CLOCALE.H в %TEMP%\90.WNCRYT
C:\Far2\PluginSDK\Headers.pas\PluginW.pas в %TEMP%\95.WNCRYT
C:\Far2\PluginSDK\Headers.pas\FarKeysW.pas в %TEMP%\94.WNCRYT
C:\Far2\PluginSDK\Headers.pas\FarColorW.pas в %TEMP%\93.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\RegExp\CLOCALE.CPP в %TEMP%\89.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtRegExp.cpp в %TEMP%\85.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtMenu.cpp в %TEMP%\84.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtChCase.cpp в %TEMP%\83.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtSearchReg.cpp в %TEMP%\88.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtSearchMix.cpp в %TEMP%\87.WNCRYT
C:\Far2\Plugins\ExtSearch\sources\ExtSearch.cpp в %TEMP%\86.WNCRYT
C:\Far2\Plugins\FTP\FtpCmds.txt.WNCRYT в C:\Far2\Plugins\FTP\FtpCmds.txt.WNCRY
C:\Far2\Plugins\ExtSearch\doc\RUS_READ.TXT.WNCRYT в C:\Far2\Plugins\ExtSearch\doc\RUS_READ.TXT.WNCRY
C:\Far2\Plugins\ExtSearch\doc\RUS_NEWS.TXT.WNCRYT в C:\Far2\Plugins\ExtSearch\doc\RUS_NEWS.TXT.WNCRY
C:\Far2\Plugins\FTP\Notes_rus.txt.WNCRYT в C:\Far2\Plugins\FTP\Notes_rus.txt.WNCRY
C:\Far2\Plugins\FTP\Notes.txt.WNCRYT в C:\Far2\Plugins\FTP\Notes.txt.WNCRY
C:\Far2\Plugins\FTP\FtpCmds_rus.txt.WNCRYT в C:\Far2\Plugins\FTP\FtpCmds_rus.txt.WNCRY
C:\Far2\Plugins\ExtSearch\doc\REGEXPS.TXT.WNCRYT в C:\Far2\Plugins\ExtSearch\doc\REGEXPS.TXT.WNCRY
C:\Far2\Plugins\7-Zip\far7z.txt.WNCRYT в C:\Far2\Plugins\7-Zip\far7z.txt.WNCRY
C:\Far2\Documentation\rus\TechInfo.txt.WNCRYT в C:\Far2\Documentation\rus\TechInfo.txt.WNCRY
C:\Far2\Documentation\rus\Plugins.Review.txt.WNCRYT в C:\Far2\Documentation\rus\Plugins.Review.txt.WNCRY
C:\Far2\Plugins\ExtSearch\doc\ENG_READ.TXT.WNCRYT в C:\Far2\Plugins\ExtSearch\doc\ENG_READ.TXT.WNCRY
C:\Far2\Plugins\ExtSearch\doc\ENG_NEWS.TXT.WNCRYT в C:\Far2\Plugins\ExtSearch\doc\ENG_NEWS.TXT.WNCRY
C:\Far2\Plugins\Colorer\hrc\changes.txt.WNCRYT в C:\Far2\Plugins\Colorer\hrc\changes.txt.WNCRY
C:\Far2\Addons\Colors\import_colors.bat.WNCRYT в C:\Far2\Addons\Colors\import_colors.bat.WNCRY
%HOMEPATH%\Templates\quattro.wb2.WNCRYT в %HOMEPATH%\Templates\quattro.wb2.WNCRY
<LS_APPDATA>\IconCache.db.WNCRYT в <LS_APPDATA>\IconCache.db.WNCRY
C:\Far2\Plugins\ExtSearch\sources\ExtChCase.cpp.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\ExtChCase.cpp.WNCRY
C:\Far2\Plugins\Colorer\hrc\auto\types\auto.jar.WNCRYT в C:\Far2\Plugins\Colorer\hrc\auto\types\auto.jar.WNCRY
C:\Far2\Plugins\Colorer\hrc\common.jar.WNCRYT в C:\Far2\Plugins\Colorer\hrc\common.jar.WNCRY
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db.WNCRYT в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db.WNCRY
C:\Documents and Settings\Default User\Templates\quattro.wb2.WNCRYT в C:\Documents and Settings\Default User\Templates\quattro.wb2.WNCRY
C:\startup_local.bat.WNCRYT в C:\startup_local.bat.WNCRY
<STUBS_DIR>\list_full.txt.WNCRYT в <STUBS_DIR>\list_full.txt.WNCRY
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js.WNCRYT в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js.WNCRY
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db.WNCRYT в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db.WNCRY
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db.WNCRYT в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db.WNCRY
C:\Far2\Documentation\rus\Plugins.Install.txt.WNCRYT в C:\Far2\Documentation\rus\Plugins.Install.txt.WNCRY
C:\Documents and Settings\Default User\Templates\winword.doc.WNCRYT в C:\Documents and Settings\Default User\Templates\winword.doc.WNCRY
C:\Documents and Settings\Default User\Templates\powerpnt.ppt.WNCRYT в C:\Documents and Settings\Default User\Templates\powerpnt.ppt.WNCRY
C:\Documents and Settings\Default User\Templates\excel4.xls.WNCRYT в C:\Documents and Settings\Default User\Templates\excel4.xls.WNCRY
%HOMEPATH%\Templates\excel.xls.WNCRYT в %HOMEPATH%\Templates\excel.xls.WNCRY
%APPDATA%\Microsoft\Internet Explorer\brndlog.txt.WNCRYT в %APPDATA%\Microsoft\Internet Explorer\brndlog.txt.WNCRY
C:\Documents and Settings\Default User\Templates\winword2.doc.WNCRYT в C:\Documents and Settings\Default User\Templates\winword2.doc.WNCRY
C:\Documents and Settings\Default User\Templates\excel.xls.WNCRYT в C:\Documents and Settings\Default User\Templates\excel.xls.WNCRY
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Water lilies.jpg.WNCRYT в %ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Water lilies.jpg.WNCRY
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Sunset.jpg.WNCRYT в %ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Sunset.jpg.WNCRY
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Blue hills.jpg.WNCRYT в %ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Blue hills.jpg.WNCRY
%ALLUSERSPROFILE%\Documents\My Music\Sample Music\New Stories (Highway Blues).wma.WNCRYT в %ALLUSERSPROFILE%\Documents\My Music\Sample Music\New Stories (Highway Blues).wma.WNCRY
%ALLUSERSPROFILE%\Documents\My Music\Sample Music\Beethoven's Symphony No. 9 (Scherzo).wma.WNCRYT в %ALLUSERSPROFILE%\Documents\My Music\Sample Music\Beethoven's Symphony No. 9 (Scherzo).wma.WNCRY
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Winter.jpg.WNCRYT в %ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Winter.jpg.WNCRY
C:\Far2\Documentation\eng\TechInfo.txt.WNCRYT в C:\Far2\Documentation\eng\TechInfo.txt.WNCRY
C:\Far2\Documentation\eng\Plugins.Review.txt.WNCRYT в C:\Far2\Documentation\eng\Plugins.Review.txt.WNCRY
C:\Far2\Documentation\eng\Plugins.Install.txt.WNCRYT в C:\Far2\Documentation\eng\Plugins.Install.txt.WNCRY
C:\Far2\Documentation\rus\Far.FAQ.txt.WNCRYT в C:\Far2\Documentation\rus\Far.FAQ.txt.WNCRY
C:\Far2\Documentation\rus\Bug.Report.txt.WNCRYT в C:\Far2\Documentation\rus\Bug.Report.txt.WNCRY
C:\Far2\Documentation\rus\Arc.Support.txt.WNCRYT в C:\Far2\Documentation\rus\Arc.Support.txt.WNCRY
C:\Far2\Documentation\eng\Far.FAQ.txt.WNCRYT в C:\Far2\Documentation\eng\Far.FAQ.txt.WNCRY
%HOMEPATH%\Templates\winword.doc.WNCRYT в %HOMEPATH%\Templates\winword.doc.WNCRY
%HOMEPATH%\Templates\powerpnt.ppt.WNCRYT в %HOMEPATH%\Templates\powerpnt.ppt.WNCRY
%HOMEPATH%\Templates\excel4.xls.WNCRYT в %HOMEPATH%\Templates\excel4.xls.WNCRY
C:\Far2\Documentation\eng\Bug.Report.txt.WNCRYT в C:\Far2\Documentation\eng\Bug.Report.txt.WNCRY
C:\Far2\Documentation\eng\Arc.Support.txt.WNCRYT в C:\Far2\Documentation\eng\Arc.Support.txt.WNCRY
%HOMEPATH%\Templates\winword2.doc.WNCRYT в %HOMEPATH%\Templates\winword2.doc.WNCRY
<STUBS_DIR>\proc_fake.txt.WNCRYT в <STUBS_DIR>\proc_fake.txt.WNCRY
<STUBS_DIR>\proc_browsers.txt.WNCRYT в <STUBS_DIR>\proc_browsers.txt.WNCRY
<STUBS_DIR>\proc_banks.txt.WNCRYT в <STUBS_DIR>\proc_banks.txt.WNCRY
<STUBS_DIR>\proc_tools.txt.WNCRYT в <STUBS_DIR>\proc_tools.txt.WNCRY
<STUBS_DIR>\proc_im.txt.WNCRYT в <STUBS_DIR>\proc_im.txt.WNCRY
<STUBS_DIR>\proc_games.txt.WNCRYT в <STUBS_DIR>\proc_games.txt.WNCRY
<STUBS_DIR>\proc_av.txt.WNCRYT в <STUBS_DIR>\proc_av.txt.WNCRY
C:\Far2\Plugins\ExtSearch\sources\ESEARCH.BAT.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\ESEARCH.BAT.WNCRY
C:\Far2\Addons\Colors\Default Highlighting\import_colors.bat.WNCRYT в C:\Far2\Addons\Colors\Default Highlighting\import_colors.bat.WNCRY
C:\Far2\Addons\Colors\Custom Highlighting\import_colors.bat.WNCRYT в C:\Far2\Addons\Colors\Custom Highlighting\import_colors.bat.WNCRY
<STUBS_DIR>\list_short.txt.WNCRYT в <STUBS_DIR>\list_short.txt.WNCRY
C:\Far2\Plugins\ExtSearch\sources\ExtClipBoard.cpp.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\ExtClipBoard.cpp.WNCRY
C:\Far2\Plugins\ExtSearch\sources\esearch_debug.bat.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\esearch_debug.bat.WNCRY
C:\Documents and Settings\Default User\Templates\excel4.xls в %TEMP%\11.WNCRYT
C:\Documents and Settings\Default User\Templates\excel.xls в %TEMP%\10.WNCRYT
%ALLUSERSPROFILE%\Documents\My Music\Sample Music\New Stories (Highway Blues).wma в %TEMP%\5.WNCRYT
C:\Documents and Settings\Default User\Templates\winword2.doc в %TEMP%\14.WNCRYT
C:\Documents and Settings\Default User\Templates\winword.doc в %TEMP%\13.WNCRYT
C:\Documents and Settings\Default User\Templates\powerpnt.ppt в %TEMP%\12.WNCRYT
%ALLUSERSPROFILE%\Documents\My Music\Sample Music\Beethoven's Symphony No. 9 (Scherzo).wma в %TEMP%\4.WNCRYT
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Blue hills.jpg в %TEMP%\0.WNCRYT
%APPDATA%\tor\state.tmp в %APPDATA%\tor\state
<STUBS_DIR>\runall.bat.WNCRYT в <STUBS_DIR>\runall.bat.WNCRY
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Winter.jpg в %TEMP%\3.WNCRYT
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Water lilies.jpg в %TEMP%\2.WNCRYT
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\Sunset.jpg в %TEMP%\1.WNCRYT
C:\Far2\Addons\Colors\export_colors.bat.WNCRYT в C:\Far2\Addons\Colors\export_colors.bat.WNCRY
C:\Far2\PluginSDK\Headers.pas\FarColorW.pas.WNCRYT в C:\Far2\PluginSDK\Headers.pas\FarColorW.pas.WNCRY
C:\Far2\Plugins\ExtSearch\sources\RegExp\CREGEXP.H.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\RegExp\CREGEXP.H.WNCRY
C:\Far2\Plugins\ExtSearch\sources\RegExp\CREGEXP.CPP.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\RegExp\CREGEXP.CPP.WNCRY
C:\AUTOEXEC.BAT.WNCRYT в C:\AUTOEXEC.BAT.WNCRY
C:\Far2\PluginSDK\Headers.pas\PluginW.pas.WNCRYT в C:\Far2\PluginSDK\Headers.pas\PluginW.pas.WNCRY
C:\Far2\PluginSDK\Headers.pas\FarKeysW.pas.WNCRYT в C:\Far2\PluginSDK\Headers.pas\FarKeysW.pas.WNCRY
C:\Far2\Plugins\ExtSearch\sources\RegExp\CLOCALE.H.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\RegExp\CLOCALE.H.WNCRY
C:\Far2\Plugins\ExtSearch\sources\ExtSearch.cpp.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\ExtSearch.cpp.WNCRY
C:\Far2\Plugins\ExtSearch\sources\ExtRegExp.cpp.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\ExtRegExp.cpp.WNCRY
C:\Far2\Plugins\ExtSearch\sources\ExtMenu.cpp.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\ExtMenu.cpp.WNCRY
C:\Far2\Plugins\ExtSearch\sources\RegExp\CLOCALE.CPP.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\RegExp\CLOCALE.CPP.WNCRY
C:\Far2\Plugins\ExtSearch\sources\ExtSearchReg.cpp.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\ExtSearchReg.cpp.WNCRY
C:\Far2\Plugins\ExtSearch\sources\ExtSearchMix.cpp.WNCRYT в C:\Far2\Plugins\ExtSearch\sources\ExtSearchMix.cpp.WNCRY
C:\Far2\ClearPluginsCache.cmd.WNCRYT в C:\Far2\ClearPluginsCache.cmd.WNCRY
%HOMEPATH%\Templates\sndrec.wav.WNCRYT в %HOMEPATH%\Templates\sndrec.wav.WNCRY
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.js.WNCRYT в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.js.WNCRY
C:\Far2\Addons\README.TXT.WNCRYT в C:\Far2\Addons\README.TXT.WNCRY
C:\Far2\SaveSettings.cmd.WNCRYT в C:\Far2\SaveSettings.cmd.WNCRY
C:\Far2\RestoreSettings.cmd.WNCRYT в C:\Far2\RestoreSettings.cmd.WNCRY
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak.WNCRYT в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak.WNCRY
C:\Documents and Settings\Default User\Application Data\Microsoft\Internet Explorer\brndlog.bak.WNCRYT в C:\Documents and Settings\Default User\Application Data\Microsoft\Internet Explorer\brndlog.bak.WNCRY
<Текущая директория>\m.vbs.WNCRYT в <Текущая директория>\m.vbs.WNCRY
<Текущая директория>\88651510161498.bat.WNCRYT в <Текущая директория>\88651510161498.bat.WNCRY
%APPDATA%\Microsoft\Internet Explorer\brndlog.bak.WNCRYT в %APPDATA%\Microsoft\Internet Explorer\brndlog.bak.WNCRY
C:\Documents and Settings\Default User\Templates\sndrec.wav.WNCRYT в C:\Documents and Settings\Default User\Templates\sndrec.wav.WNCRY
C:\Documents and Settings\Default User\Application Data\Microsoft\Internet Explorer\brndlog.txt.WNCRYT в C:\Documents and Settings\Default User\Application Data\Microsoft\Internet Explorer\brndlog.txt.WNCRY

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность:

Подключается к:

'37.##7.195.87':443
'17#.#5.193.9':80
'85.##4.62.48':443
'17#.#2.197.82':443
'19#.#3.244.244':443
'95.##3.48.12':443
'localhost':1036
'localhost':9050
'51.##4.246.203':9001
'21#.#39.217.18':1337
'19#.#09.206.212':443

Другое:

Ищет следующие окна:

ClassName: '' WindowName: ''
ClassName: '' WindowName: 'Wana Decrypt0r 2.0'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней