Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\!=how_recovery_files=!.txt
- C:\far2\plugins\emenu\!=how_recovery_files=!.txt
- C:\far2\plugins\farcmds\!=how_recovery_files=!.txt
- C:\far2\plugins\filecase\!=how_recovery_files=!.txt
- C:\far2\plugins\ftp\lib\!=how_recovery_files=!.txt
- C:\far2\plugins\ftp\!=how_recovery_files=!.txt
- C:\far2\plugins\hlfviewer\!=how_recovery_files=!.txt
- C:\far2\plugins\macroview\!=how_recovery_files=!.txt
- C:\far2\plugins\network\!=how_recovery_files=!.txt
- C:\far2\plugins\proclist\!=how_recovery_files=!.txt
- C:\far2\plugins\!=how_recovery_files=!.txt
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\!=how_recovery_files=!.txt
- C:\far2\pluginsdk\headers.c\!=how_recovery_files=!.txt
- C:\far2\pluginsdk\headers.pas\!=how_recovery_files=!.txt
- C:\far2\pluginsdk\!=how_recovery_files=!.txt
- C:\far2\!=how_recovery_files=!.txt
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\!=how_recovery_files=!.txt
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\!=how_recovery_files=!.txt
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\!=how_recovery_files=!.txt
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\!=how_recovery_files=!.txt
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\!=how_recovery_files=!.txt
- C:\far2\plugins\editcase\!=how_recovery_files=!.txt
- C:\far2\plugins\tmppanel\!=how_recovery_files=!.txt
- C:\far2\plugins\drawline\!=how_recovery_files=!.txt
- C:\far2\addons\xlat\!=how_recovery_files=!.txt
- D:\$recycle.bin\!=how_recovery_files=!.txt
- D:\!=how_recovery_files=!.txt
- C:\far2\addons\colors\custom_highlighting\!=how_recovery_files=!.txt
- C:\far2\addons\colors\default_highlighting\!=how_recovery_files=!.txt
- C:\far2\addons\colors\!=how_recovery_files=!.txt
- C:\far2\addons\macros\!=how_recovery_files=!.txt
- C:\far2\addons\setup\!=how_recovery_files=!.txt
- C:\far2\addons\shell\!=how_recovery_files=!.txt
- C:\far2\addons\xlat\russian\!=how_recovery_files=!.txt
- C:\far2\addons\!=how_recovery_files=!.txt
- C:\far2\plugins\brackets\!=how_recovery_files=!.txt
- C:\far2\documentation\eng\!=how_recovery_files=!.txt
- C:\far2\documentation\rus\!=how_recovery_files=!.txt
- C:\far2\documentation\!=how_recovery_files=!.txt
- C:\far2\encyclopedia\tap\!=how_recovery_files=!.txt
- C:\far2\encyclopedia\!=how_recovery_files=!.txt
- C:\far2\fexcept\!=how_recovery_files=!.txt
- C:\far2\plugins\align\!=how_recovery_files=!.txt
- C:\far2\plugins\arclite\!=how_recovery_files=!.txt
- C:\far2\plugins\autowrap\!=how_recovery_files=!.txt
- C:\far2\plugins\compare\!=how_recovery_files=!.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\!=how_recovery_files=!.txt
Подменяет следующие файлы
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1960123792-2022915161-3775307078-1001\f58155b4b1d5a524ca0261c3ee99fb50_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\vssadmin.exe' delete shadows /all /quiet' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\vssvc.exe'
- '<SYSTEM32>\svchost.exe' -k swprv
