Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\dashborder_144.bmp
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\vssvc.exe
- <SYSTEM32>\wbengine.exe
- <SYSTEM32>\vds.exe
Изменения в файловой системе
Создает следующие файлы
- <DRIVERS>\etc\host
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl
Перемещает следующие файлы
- %APPDATA%\microsoft\windows\recent\activator.zip.lnk в %APPDATA%\microsoft\windows\recent\activator.zip.lnk.the_ancients[mamo_:)]
- %APPDATA%\microsoft\windows\recent\all control panel items.lnk в %APPDATA%\microsoft\windows\recent\all control panel items.lnk.the_ancients[mamo_:)]
- %APPDATA%\microsoft\windows\recent\appearance and personalization.lnk в %APPDATA%\microsoft\windows\recent\appearance and personalization.lnk.the_ancients[mamo_:)]
- %APPDATA%\microsoft\windows\recent\cd drive.lnk в %APPDATA%\microsoft\windows\recent\cd drive.lnk.the_ancients[mamo_:)]
- %APPDATA%\microsoft\windows\recent\display.lnk в %APPDATA%\microsoft\windows\recent\display.lnk.the_ancients[mamo_:)]
- %APPDATA%\microsoft\windows\recent\eula.1028.txt.lnk в %APPDATA%\microsoft\windows\recent\eula.1028.txt.lnk.the_ancients[mamo_:)]
- %APPDATA%\microsoft\windows\recent\local disk (c).lnk в %APPDATA%\microsoft\windows\recent\local disk (c).lnk.the_ancients[mamo_:)]
- %APPDATA%\microsoft\windows\recent\system and security.lnk в %APPDATA%\microsoft\windows\recent\system and security.lnk.the_ancients[mamo_:)]
- %APPDATA%\microsoft\windows\recent\vcredist.bmp.lnk в %APPDATA%\microsoft\windows\recent\vcredist.bmp.lnk.the_ancients[mamo_:)]
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl в %WINDIR%\logs\windowsbackup\wbadmin.1.etl
- %WINDIR%\logs\windowsbackup\wbadmin.1.etl в %WINDIR%\logs\windowsbackup\wbadmin.2.etl
- %WINDIR%\logs\windowsbackup\wbadmin.2.etl в %WINDIR%\logs\windowsbackup\wbadmin.3.etl
Подменяет следующие файлы
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl
- %WINDIR%\logs\windowsbackup\wbadmin.1.etl
- %WINDIR%\logs\windowsbackup\wbadmin.2.etl
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog ...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog ...
- '<SYSTEM32>\vssvc.exe'
- '<SYSTEM32>\svchost.exe' -k swprv
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\wbadmin.exe' delete catalog -quiet
- '<SYSTEM32>\wbengine.exe'
- '<SYSTEM32>\vds.exe'
- '<SYSTEM32>\wbadmin.exe' delete systemstatebackup
- '<SYSTEM32>\wbadmin.exe' delete systemstatebackup -keepversions:0
- '<SYSTEM32>\wbadmin.exe' delete backup
