Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MSFEEditor' = '"<Полный путь к файлу>" e'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\archer.avi.corona-lock
- <Имя диска съемного носителя>:\pmd.cer.corona-lock
- <Имя диска съемного носителя>:\testcertificate.cer.corona-lock
- <Имя диска съемного носителя>:\contosoroot.cer.corona-lock
- <Имя диска съемного носителя>:\contoso_1.cer.corona-lock
- <Имя диска съемного носителя>:\testee.cer.corona-lock
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer.corona-lock
- <Имя диска съемного носителя>:\508softwareandos.doc.corona-lock
- <Имя диска съемного носителя>:\contosoroot_1.cer.corona-lock
- <Имя диска съемного носителя>:\dial.bmp.corona-lock
- <Имя диска съемного носителя>:\coffee.bmp.corona-lock
- <Имя диска съемного носителя>:\tileimage.bmp.corona-lock
- <Имя диска съемного носителя>:\default.bmp.corona-lock
- <Имя диска съемного носителя>:\toolbar.bmp.corona-lock
- <Имя диска съемного носителя>:\split.avi.corona-lock
- <Имя диска съемного носителя>:\dashborder_120.bmp.corona-lock
- <Имя диска съемного носителя>:\lisp_success.doc.corona-lock
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\key.file
- C:\far2\farspa.lng.corona-lock
- C:\totalcmd\no.bar.corona-lock
- C:\totalcmd\sfxhead.sfx.corona-lock
- C:\far2\file_id.diz.corona-lock
- C:\far2\restoresettings.cmd.corona-lock
- C:\far2\savesettings.cmd.corona-lock
- C:\totalcmd\size!.txt.corona-lock
- C:\totalcmd\tcunin64.wul.corona-lock
- C:\totalcmd\tcuninst.wul.corona-lock
- C:\totalcmd\totalcmd.chm.corona-lock
- %ProgramFiles(x86)%\mozilla firefox\precomplete.corona-lock
- %ProgramFiles(x86)%\mozilla firefox\removed-files.corona-lock
- %ProgramFiles(x86)%\mozilla thunderbird\precomplete.corona-lock
- %ProgramFiles(x86)%\mozilla thunderbird\removed-files.corona-lock
- %ProgramFiles(x86)%\opera\server_tracking_data.corona-lock
- C:\totalcmd\totalcmd.inc.corona-lock
- C:\totalcmd\totalcmd64.exe.manifest.corona-lock
- C:\totalcmd\keyboard.txt.corona-lock
- C:\totalcmd\wcmicons.inc.corona-lock
- C:\far2\farrus.lng.corona-lock
- C:\far2\farpol.lng.corona-lock
- %HOMEPATH%\desktop\readme_lock.txt
- D:\install.log.corona-lock
- C:\far2\changelog.corona-lock
- C:\far2\changelog_eng.corona-lock
- C:\far2\clearpluginscache.cmd.corona-lock
- C:\far2\far.map.corona-lock
- C:\totalcmd\default.bar.corona-lock
- C:\far2\addons\descript.ion.corona-lock
- C:\far2\addons\readme.txt.corona-lock
- C:\far2\farcze.lng.corona-lock
- C:\totalcmd\descript.ion.corona-lock
- C:\totalcmd\history.txt.corona-lock
- C:\far2\fareng.hlf.corona-lock
- C:\far2\fareng.lng.corona-lock
- C:\far2\farger.lng.corona-lock
- C:\far2\farhun.hlf.corona-lock
- C:\far2\farhun.lng.corona-lock
- C:\far2\farrus.hlf.corona-lock
- C:\totalcmd\wcuninst.wul.corona-lock
Удаляет следующие файлы
- <Имя диска съемного носителя>:\lisp_success.doc.corona-lock
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
- '<SYSTEM32>\vssvc.exe'
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
- '%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
- '%WINDIR%\syswow64\wbem\wmic.exe' SHADOWCOPY /nointeractive
