Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'LAC-KID' = '<Полный путь к файлу>'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\000814251_video_01.avi.lonleyencryptedfile
- <Имя диска съемного носителя>:\join.avi.lonleyencryptedfile
- <Имя диска съемного носителя>:\coffee.bmp.lonleyencryptedfile
- <Имя диска съемного носителя>:\dialmap.bmp.lonleyencryptedfile
- <Имя диска съемного носителя>:\default.bmp.lonleyencryptedfile
- <Имя диска съемного носителя>:\dashborder_96.bmp.lonleyencryptedfile
- <Имя диска съемного носителя>:\dashborder_120.bmp.lonleyencryptedfile
- <Имя диска съемного носителя>:\tileimage.bmp.lonleyencryptedfile
- <Имя диска съемного носителя>:\dial.bmp.lonleyencryptedfile
- <Имя диска съемного носителя>:\pmd.cer.lonleyencryptedfile
- <Имя диска съемного носителя>:\testee.cer.lonleyencryptedfile
- <Имя диска съемного носителя>:\contoso.cer.lonleyencryptedfile
- <Имя диска съемного носителя>:\february_catalogue__2015.doc.lonleyencryptedfile
- <Имя диска съемного носителя>:\applicantform_en.doc.lonleyencryptedfile
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\alert.htm
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\correct.avi
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\garden.htm
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\testee.cer
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\zzzz.bmp
- %WINDIR%\syswow64\12520850.cpx.lonleyencryptedfile
- C:\users.lonleyencryptedfile
- %WINDIR%\syswow64\aaclient.dll.lonleyencryptedfile
- C:\$recycle.bin\..lonleyencryptedfile
- C:\$recycle.bin\...lonleyencryptedfile
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001.lonleyencryptedfile
- %WINDIR%\syswow64\ac3acm.acm.lonleyencryptedfile
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\..lonleyencryptedfile
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\...lonleyencryptedfile
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.lonleyencryptedfile
- %WINDIR%\syswow64\accessibilitycpl.dll.lonleyencryptedfile
- C:\far2\changelog.lonleyencryptedfile
- %WINDIR%\syswow64\12520437.cpx.lonleyencryptedfile
- C:\systemtool.exe.lonleyencryptedfile
- %WINDIR%\syswow64\acctres.dll.lonleyencryptedfile
- %WINDIR%\bitlockerdiscoveryvolumecontents.lonleyencryptedfile
- %WINDIR%\syswow64\acledit.dll.lonleyencryptedfile
- %WINDIR%\bootstat.dat.lonleyencryptedfile
- %WINDIR%\syswow64\aclui.dll.lonleyencryptedfile
- %WINDIR%\directx.log.lonleyencryptedfile
- %WINDIR%\syswow64\acppage.dll.lonleyencryptedfile
- %WINDIR%\dtcinstall.log.lonleyencryptedfile
- %WINDIR%\syswow64\actioncenter.dll.lonleyencryptedfile
- C:\far2\clearpluginscache.cmd.lonleyencryptedfile
- %WINDIR%\enterprise.xml.lonleyencryptedfile
- C:\far2\far.exe.lonleyencryptedfile
- C:\far2\far.map.lonleyencryptedfile
- C:\far2\changelog_eng.lonleyencryptedfile
- %WINDIR%\bfsvc.exe.lonleyencryptedfile
- C:\system volume information.lonleyencryptedfile
- C:\recovery.lonleyencryptedfile
- %PROGRAMDATA%.lonleyencryptedfile
- %HOMEPATH%\documents\lac-core.exe
- D:\$recycle.bin.lonleyencryptedfile
- D:\install.log.lonleyencryptedfile
- D:\system volume information.lonleyencryptedfile
- D:\$recycle.bin\..lonleyencryptedfile
- D:\$recycle.bin\...lonleyencryptedfile
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001.lonleyencryptedfile
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\..lonleyencryptedfile
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\...lonleyencryptedfile
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.lonleyencryptedfile
- %WINDIR%\assembly.lonleyencryptedfile
- %HOMEPATH%\desktop\..lonleyencryptedfile
- %HOMEPATH%\desktop\...lonleyencryptedfile
- C:\systemtool.exe
- %HOMEPATH%\desktop\000814251_video_01.avi.lonleyencryptedfile
- %HOMEPATH%\desktop\icq.lnk.lonleyencryptedfile
- %HOMEPATH%\desktop\mail.ru agent.lnk.lonleyencryptedfile
- %HOMEPATH%\desktop\qip 2012.lnk.lonleyencryptedfile
- %HOMEPATH%\desktop\skypesetup.exe.lonleyencryptedfile
- %HOMEPATH%\desktop\telegram.lnk.lonleyencryptedfile
- %HOMEPATH%\desktop\total commander 64 bit.lnk.lonleyencryptedfile
- %HOMEPATH%\desktop\wrar520.exe.lonleyencryptedfile
- C:\$recycle.bin.lonleyencryptedfile
- C:\documents and settings.lonleyencryptedfile
- C:\msocache.lonleyencryptedfile
- C:\pagefile.sys.lonleyencryptedfile
- %ProgramFiles%.lonleyencryptedfile
- %ProgramFiles(x86)%.lonleyencryptedfile
- %HOMEPATH%\desktop\desktop.ini.lonleyencryptedfile
- %WINDIR%\explorer.exe.lonleyencryptedfile
- C:\far2\farcze.lng.lonleyencryptedfile
Присваивает атрибут 'скрытый' для следующих файлов
- C:\systemtool.exe
Удаляет следующие файлы
- C:\systemtool.exe
- %WINDIR%\syswow64\ac3acm.acm
- %WINDIR%\bootstat.dat
- %WINDIR%\directx.log
- %WINDIR%\dtcinstall.log
- %WINDIR%\enterprise.xml
- %WINDIR%\flash_sa.exe
- %WINDIR%\msdfmap.ini
- %WINDIR%\ntbtlog.txt
- %WINDIR%\pfro.log
- %WINDIR%\setupact.log
- %WINDIR%\setuperr.log
- %WINDIR%\starter.xml
- %WINDIR%\system.ini
- %WINDIR%\tssysprep.log
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Ищет следующие окна
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: '' WindowName: 'Taskmgr.exe'
- ClassName: '' WindowName: 'CMD.exe'
Создает и запускает на исполнение
- 'C:\systemtool.exe'
- '%HOMEPATH%\documents\lac-core.exe'
