Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\#解密我的文件#.txt
- <Имя диска съемного носителя>:\#DECRYPT MY FILES#.txt
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе:
Создает следующие файлы:
- C:\#解密我的文件#.txt
- C:\#DECRYPT MY FILES#.txt
- %HOMEPATH%\Desktop\#解密我的文件#.txt
- %HOMEPATH%\Desktop\#DECRYPT MY FILES#.txt
- %APPDATA%\Microsoft\Speech\Files\UserLexicons\SP_E6354C48F3864C73B15D6B6E000A039E.dat
- %HOMEPATH%\Desktop\WallPaper.bmp
Перемещает следующие файлы:
- %APPDATA%\Microsoft\Address Book\%USERNAME%.wab в %APPDATA%\Microsoft\Address Book\%USERNAME%.wab.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.js в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.js.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarks.html в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\bookmarks.html.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\secmod.db.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\key3.db.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cert8.db.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\sessionstore.bak.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\webappsstore.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\webappsstore.sqlite.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\signons.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\signons.sqlite.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\search.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\search.sqlite.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\places.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\places.sqlite.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\permissions.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\permissions.sqlite.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\formhistory.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\formhistory.sqlite.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions.sqlite.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\downloads.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\downloads.sqlite.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cookies.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\cookies.sqlite.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\content-prefs.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\content-prefs.sqlite.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chromeappsstore.sqlite в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chromeappsstore.sqlite.[fileslocker@pm.me]
- %APPDATA%\Microsoft\Internet Explorer\brndlog.bak в %APPDATA%\Microsoft\Internet Explorer\brndlog.bak.[fileslocker@pm.me]
- %APPDATA%\Microsoft\Internet Explorer\brndlog.txt в %APPDATA%\Microsoft\Internet Explorer\brndlog.txt.[fileslocker@pm.me]
- %APPDATA%\Microsoft\Address Book\%USERNAME%.wab~ в %APPDATA%\Microsoft\Address Book\%USERNAME%.wab~.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userChrome-example.css в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userChrome-example.css.[fileslocker@pm.me]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userContent-example.css в %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\chrome\userContent-example.css.[fileslocker@pm.me]
Сетевая активность:
Подключается к:
- 'localhost':1037
- 'ip###ger.org':443
- 'wp#d':80
- 'p2.##.qhmsg.com':80
TCP:
Запросы HTTP GET:
- http://11#.#11.111.2/wpad.dat via wp#d
- http://p2.##.qhmsg.com/t017dbe734425296aea.jpg
UDP:
- DNS ASK ip###ger.org
- DNS ASK wp#d
- DNS ASK p2.##.qhmsg.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'CicLoaderWndClass' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet
- '%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' -nohome
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\#解密我的文件#.txt
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\#DECRYPT MY FILES#.txt
