Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bbpxpoaw' = '%TEMP%\CoronaVirus.txt'
- [<HKLM>\SYSTEM\CurrentControlSet\Control\Session Manager] 'BootExecute' = 'autocheck autochk *\n%TEMP%\hfyy.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\168.jpg
- <Имя диска съемного носителя>:\210252809.jpg
- <Имя диска съемного носителя>:\spanner.mov
- <Имя диска съемного носителя>:\productos.xls
- <Имя диска съемного носителя>:\2015-02-worms-nanoparticle-toxicity.pdf
- <Имя диска съемного носителя>:\ppswamp.ppt
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\calculatorworksheet.xls
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\proposaltemplates.ppt
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\dashborder_96.bmp
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\wbadmin.exe
- <SYSTEM32>\vssadmin.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\c5ce.tmp.exe
- C:\far2\documentation\rus\coronavirus.txt
- C:\far2\documentation\eng\coronavirus.txt
- C:\far2\documentation\coronavirus.txt
- C:\far2\addons\xlat\russian\coronavirus.txt
- C:\far2\addons\xlat\coronavirus.txt
- C:\far2\addons\shell\coronavirus.txt
- C:\far2\addons\setup\coronavirus.txt
- C:\far2\addons\macros\coronavirus.txt
- C:\far2\addons\colors\default_highlighting\coronavirus.txt
- C:\far2\addons\colors\custom_highlighting\coronavirus.txt
- C:\far2\addons\colors\coronavirus.txt
- C:\far2\addons\coronavirus.txt
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\coronavirus.txt
- D:\$recycle.bin\coronavirus.txt
- C:\far2\coronavirus.txt
- C:\documents and settings\coronavirus.txt
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\coronavirus.txt
- C:\$recycle.bin\coronavirus.txt
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl
- %TEMP%\hfyy.exe
- %TEMP%\sar.exe
- %TEMP%\coronavirus.txt
- %APPDATA%\c84f.tmp.exe
- C:\far2\encyclopedia\coronavirus.txt
- C:\far2\encyclopedia\tap\coronavirus.txt
Перемещает следующие файлы
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl в %WINDIR%\logs\windowsbackup\wbadmin.1.etl
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
TCP
Запросы HTTP GET
- http://tr##da.xyz/file1.exe
- http://tr##da.xyz/file2.exe
- http://tr##da.xyz/file3.exe
- http://tr##da.xyz/file4.exe
- http://tr##da.xyz/file5.exe
- http://tr##da.xyz/file6.exe
- http://tr##da.xyz/file7.exe
UDP
- DNS ASK tr##da.xyz
- DNS ASK ip###ger.org
Другое
Создает и запускает на исполнение
- '%APPDATA%\c5ce.tmp.exe'
- '%APPDATA%\c84f.tmp.exe'
- '%TEMP%\sar.exe' {846ee340-7039-11de-9d20-806e6f6e6963} "%APPDATA%\C84FTM~1.EXE"
- '%TEMP%\sar.exe' {846ee340-7039-11de-9d20-806e6f6e6963} "%APPDATA%\C84FTM~1.EXE"' (со скрытым окном)
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet' (со скрытым окном)
- '<SYSTEM32>\wbadmin.exe' delete backup -keepVersions:0 -quiet' (со скрытым окном)
- '<SYSTEM32>\wbadmin.exe' delete systemstatebackup -keepVersions:0 -quiet' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 && del "<Полный путь к файлу>" >> NUL' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\wbadmin.exe' delete backup -keepVersions:0 -quiet
- '<SYSTEM32>\wbadmin.exe' delete systemstatebackup -keepVersions:0 -quiet
- '<SYSTEM32>\vssvc.exe'
- '<SYSTEM32>\svchost.exe' -k swprv
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 && del "<Полный путь к файлу>" >> NUL
