Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'zkBujohS' = '"<LS_APPDATA>\Microsoft\mfEhmvsZ.exe"'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\zkBujohS.lnk
Заражает следующие исполняемые файлы:
- C:\Far2\Plugins\arclite\7zCon.sfx
- C:\Far2\Plugins\FTP\lib\ftpProgress.fll
- C:\Far2\Plugins\FTP\lib\ftpDirList.fll
- C:\Far2\Plugins\arclite\7zS2con.sfx
- C:\Far2\Plugins\arclite\7zS2.sfx
- C:\Far2\Plugins\arclite\7zSD.sfx
- C:\Far2\Plugins\arclite\7z.sfx
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\316caa4ec95ef271e1191a8404c8acad_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\33d76ad2-2096-4b31-863f-01671097726a
- <LS_APPDATA>\Microsoft\mfEhmvsZ.exe
- %APPDATA%\Microsoft\Protect\CREDHIST
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\d9f6c67dd28240b5a5de7fa4b29827e4_23ef5514-3059-436f-a4a7-4cefaab20eb1
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Microsoft\Protect\CREDHIST!________GEKTORg@PROTONMAIL.COM________.GEXOGEN
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\33d76ad2-2096-4b31-863f-01671097726a!________GEKTORg@PROTONMAIL.COM________.GEXOGEN
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred!________GEKTORg@PROTONMAIL.COM________.GEXOGEN
- %APPDATA%\Microsoft\Protect\CREDHIST
- %HOMEPATH%\Start Menu\Programs\Startup\zkBujohS.lnk
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\33d76ad2-2096-4b31-863f-01671097726a
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
Удаляет следующие файлы:
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\316caa4ec95ef271e1191a8404c8acad_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\d9f6c67dd28240b5a5de7fa4b29827e4_23ef5514-3059-436f-a4a7-4cefaab20eb1
Перемещает следующие файлы:
- %APPDATA%\Microsoft\Media Player\0007F0B7.wpl в %APPDATA%\Microsoft\Media Player\0007F0B7.wpl!________GEKTORg@PROTONMAIL.COM________.GEXOGEN
- %APPDATA%\Microsoft\Address Book\%USERNAME%.wab~ в %APPDATA%\Microsoft\Address Book\%USERNAME%.wab~!________GEKTORg@PROTONMAIL.COM________.GEXOGEN
- %APPDATA%\Microsoft\Protect\CREDHIST в %APPDATA%\Microsoft\Protect\CREDHIST!________GEKTORg@PROTONMAIL.COM________.GEXOGEN
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\33d76ad2-2096-4b31-863f-01671097726a в %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\33d76ad2-2096-4b31-863f-01671097726a!________GEKTORg@PROTONMAIL.COM________.GEXOGEN
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred в %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred!________GEKTORg@PROTONMAIL.COM________.GEXOGEN
Подменяет следующие файлы:
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\d9f6c67dd28240b5a5de7fa4b29827e4_23ef5514-3059-436f-a4a7-4cefaab20eb1
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
