Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\unlock_all_files.txt
- <Имя диска съемного носителя>:\1189.jpeg.email=[filerestore07@gmail.com]id=[kogtfwjtpoeafvcj].encrypt
- <Имя диска съемного носителя>:\13.jpeg.email=[filerestore07@gmail.com]id=[kogtfwjtpoeafvcj].encrypt
- <Имя диска съемного носителя>:\13.jpg.email=[filerestore07@gmail.com]id=[kogtfwjtpoeafvcj].encrypt
- <Имя диска съемного носителя>:\1sm_price.zip.email=[filerestore07@gmail.com]id=[kogtfwjtpoeafvcj].encrypt
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM sqlservr.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM sqlceip.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM sqlwriter.exe /T
- '<SYSTEM32>\net.exe' stop MSSQL$SQLEXPRESS
Изменения в файловой системе
Создает следующие файлы
- nul
- D:\unlock_all_files.txt
- C:\unlock_all_files.txt
- C:\users\default\desktop\unlock_all_files.txt
- C:\users\public\desktop\unlock_all_files.txt
- %HOMEPATH%\desktop\unlock_all_files.txt
- %APPDATA%\microsoft\windows\network shortcuts\unlock_all_files.txt
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "taskkill /F /IM sqlservr.exe /T"
- '<SYSTEM32>\cmd.exe' /C "taskkill /F /IM sqlceip.exe /T"
- '<SYSTEM32>\cmd.exe' /C "taskkill /F /IM sqlwriter.exe /T"
- '<SYSTEM32>\cmd.exe' /C "rmdir C:\Users\Default\AppData /s /q"
- '<SYSTEM32>\cmd.exe' /C "rmdir C:\Users\Public\AppData /s /q"
- '<SYSTEM32>\cmd.exe' /C "rmdir %HOMEPATH%\AppData /s /q"
- '<SYSTEM32>\cmd.exe' /C "attrib +h +s Encrypt.exe"
- '<SYSTEM32>\attrib.exe' +h +s Encrypt.exe
- '<SYSTEM32>\cmd.exe' /C "net stop MSSQL$SQLEXPRESS"
- '<SYSTEM32>\net1.exe' stop MSSQL$SQLEXPRESS
- '<SYSTEM32>\cmd.exe' /C "rmdir <Имя диска съемного носителя>:\$Recycle.Bin /s /q"
- '<SYSTEM32>\cmd.exe' /C "rmdir D:\$Recycle.Bin /s /q"
- '<SYSTEM32>\cmd.exe' /C "rmdir C:\$Recycle.Bin /s /q"
