Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\clip_1080_5sec_10mbps_h264.mp4
- <Имя диска съемного носителя>:\parnas_01.jpeg
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer
- %HOMEPATH%\desktop\split.avi
Изменения в файловой системе
Создает следующие файлы
- D:\e3b466-readme.txt
- %PROGRAMDATA%\e3b466-readme.txt
- %ProgramFiles(x86)%\steam\skins\e3b466-readme.txt
- %ProgramFiles(x86)%\microsoft office\office10\e3b466-readme.txt
- %ProgramFiles(x86)%\msbuild\e3b466-readme.txt
- C:\far2\addons\e3b466-readme.txt
- %APPDATA%\mra\e3b466-readme.txt
- %ProgramFiles(x86)%\steam\html5app\e3b466-readme.txt
- %ProgramFiles(x86)%\qip 2012\skins\qip\e3b466-readme.txt
- %PROGRAMDATA%\oracle\java\installcache_x64\e3b466-readme.txt
- %APPDATA%\winamp\e3b466-readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\resource\font\e3b466-readme.txt
- C:\totalcmd\language\e3b466-readme.txt
- C:\users\all users\microsoft toolkit\e3b466-readme.txt
- %ProgramFiles(x86)%\microsoft office\office14\1033\e3b466-readme.txt
- %ProgramFiles(x86)%\steam\remoteui\static\e3b466-readme.txt
- %PROGRAMDATA%\microsoft\officesoftwareprotectionplatform\cache\e3b466-readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\plug_ins\e3b466-readme.txt
- %ProgramFiles(x86)%\steam\config\e3b466-readme.txt
- %ProgramFiles(x86)%\google\chrome\application\e3b466-readme.txt
- C:\far2\fexcept\e3b466-readme.txt
- %ProgramFiles(x86)%\steam\steamapps\e3b466-readme.txt
- %PROGRAMDATA%\microsoft\mf\e3b466-readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\javascripts\e3b466-readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\idtemplates\enu\e3b466-readme.txt
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\e3b466-readme.txt
- %CommonProgramFiles(x86)%\adobe\helpcfg\en_us\e3b466-readme.txt
- %ProgramFiles(x86)%\k-lite codec pack\info\e3b466-readme.txt
- %APPDATA%\ghisler\e3b466-readme.txt
- %HOMEPATH%\searches\e3b466-readme.txt
- %APPDATA%\telegram desktop\e3b466-readme.txt
- %ProgramFiles(x86)%\k-lite codec pack\tools\e3b466-readme.txt
- %PROGRAMDATA%\microsoft\assistance\client\1.0\en-us\e3b466-readme.txt
- %HOMEPATH%\contacts\e3b466-readme.txt
- C:\users\public\libraries\e3b466-readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\e3b466-readme.txt
- C:\totalcmd\e3b466-readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\e3b466-readme.txt
- C:\users\public\pictures\sample pictures\e3b466-readme.txt
- C:\far2\e3b466-readme.txt
- C:\users\public\music\sample music\e3b466-readme.txt
- C:\users\all users\microsoft toolkit\settings.xml
- C:\users\all users\sun\java\java update\jaureglist.xml
- %HOMEPATH%\favorites\msn websites\e3b466-readme.txt
- C:\users\public\recorded tv\sample media\e3b466-readme.txt
- %ProgramFiles(x86)%\steam\e3b466-readme.txt
- %HOMEPATH%\desktop\e3b466-readme.txt
- %ProgramFiles(x86)%\winamp\e3b466-readme.txt
- %ProgramFiles(x86)%\k-lite codec pack\icaros\e3b466-readme.txt
- %LOCALAPPDATA%\msfree inc\e3b466-readme.txt
- C:\far2\documentation\rus\e3b466-readme.txt
- %PROGRAMDATA%\microsoft\windows\start menu\programs\steam\e3b466-readme.txt
- %PROGRAMDATA%\microsoft\crypto\rsa\s-1-5-18\e3b466-readme.txt
- %ProgramFiles(x86)%\adobe\acrobat reader dc\resource\e3b466-readme.txt
- C:\users\public\videos\sample videos\e3b466-readme.txt
- %ProgramFiles(x86)%\qip 2012\e3b466-readme.txt
- %PROGRAMDATA%\microsoft\user account pictures\e3b466-readme.txt
- %LOCALAPPDATA%\applicationhistory\e3b466-readme.txt
- %ProgramFiles(x86)%\mirc\e3b466-readme.txt
- %HOMEPATH%\favorites\microsoft websites\e3b466-readme.txt
- %ProgramFiles(x86)%\opera\e3b466-readme.txt
- %CommonProgramFiles(x86)%\java\java update\e3b466-readme.txt
- %ProgramFiles(x86)%\winamp\components\e3b466-readme.txt
- %ProgramFiles(x86)%\k-lite codec pack\icaros\resources\e3b466-readme.txt
Перемещает следующие файлы
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\cryptocme.sig в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\cryptocme.sig.e3b466
- %APPDATA%\telegram desktop\log.txt в %APPDATA%\telegram desktop\log.txt.e3b466
- %ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-1.bin в %ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-1.bin.e3b466
- %ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-0.bin в %ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-0.bin.e3b466
- %ProgramFiles(x86)%\steam\skins\skins_readme.txt в %ProgramFiles(x86)%\steam\skins\skins_readme.txt.e3b466
- %ProgramFiles(x86)%\msbuild\microsoft.office.infopath.targets в %ProgramFiles(x86)%\msbuild\microsoft.office.infopath.targets.e3b466
- %ProgramFiles(x86)%\steam\html5app\keybinds.cfg в %ProgramFiles(x86)%\steam\html5app\keybinds.cfg.e3b466
- %ProgramFiles(x86)%\microsoft office\office10\thdic.lex в %ProgramFiles(x86)%\microsoft office\office10\thdic.lex.e3b466
- %ProgramFiles(x86)%\qip 2012\skins\qip\extended.cfg в %ProgramFiles(x86)%\qip 2012\skins\qip\extended.cfg.e3b466
- %ProgramFiles(x86)%\qip 2012\skins\qip\fade.cfg в %ProgramFiles(x86)%\qip 2012\skins\qip\fade.cfg.e3b466
- %APPDATA%\winamp\links.xml в %APPDATA%\winamp\links.xml.e3b466
- %ProgramFiles(x86)%\adobe\acrobat reader dc\resource\font\adobepistd.otf в %ProgramFiles(x86)%\adobe\acrobat reader dc\resource\font\adobepistd.otf.e3b466
- %ProgramFiles(x86)%\adobe\acrobat reader dc\resource\font\courierstd-bold.otf в %ProgramFiles(x86)%\adobe\acrobat reader dc\resource\font\courierstd-bold.otf.e3b466
- %ProgramFiles(x86)%\winamp\components\ssdp.w6c в %ProgramFiles(x86)%\winamp\components\ssdp.w6c.e3b466
- %ProgramFiles(x86)%\k-lite codec pack\icaros\resources\icarosdescriptions.propdesc в %ProgramFiles(x86)%\k-lite codec pack\icaros\resources\icarosdescriptions.propdesc.e3b466
- %ProgramFiles(x86)%\adobe\acrobat reader dc\resource\font\courierstd-boldoblique.otf в %ProgramFiles(x86)%\adobe\acrobat reader dc\resource\font\courierstd-boldoblique.otf.e3b466
- %ProgramFiles(x86)%\steam\remoteui\static\playercontrols.js в %ProgramFiles(x86)%\steam\remoteui\static\playercontrols.js.e3b466
- %APPDATA%\ghisler\wincmd.ini в %APPDATA%\ghisler\wincmd.ini.e3b466
- %ProgramFiles(x86)%\steam\steamapps\libraryfolders.vdf в %ProgramFiles(x86)%\steam\steamapps\libraryfolders.vdf.e3b466
- %ProgramFiles(x86)%\steam\config\config.vdf в %ProgramFiles(x86)%\steam\config\config.vdf.e3b466
- %ProgramFiles(x86)%\mirc\defaults\urls.ini в %ProgramFiles(x86)%\mirc\defaults\urls.ini.e3b466
- %ProgramFiles(x86)%\google\chrome\application\debug.log в %ProgramFiles(x86)%\google\chrome\application\debug.log.e3b466
- %ProgramFiles(x86)%\steam\html5app\package.json в %ProgramFiles(x86)%\steam\html5app\package.json.e3b466
- %ProgramFiles(x86)%\k-lite codec pack\info\faq.css в %ProgramFiles(x86)%\k-lite codec pack\info\faq.css.e3b466
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\plug_ins\pddom.api в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\plug_ins\pddom.api.e3b466
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf в %ProgramFiles(x86)%\steam\config\dialogconfig.vdf.e3b466
- %ProgramFiles(x86)%\google\chrome\application\visualelementsmanifest.xml в %ProgramFiles(x86)%\google\chrome\application\visualelementsmanifest.xml.e3b466
- %ProgramFiles(x86)%\steam\steam\legacydepotdata.vdf в %ProgramFiles(x86)%\steam\steam\legacydepotdata.vdf.e3b466
- %ProgramFiles(x86)%\steam\remoteui\static\headsdown.js в %ProgramFiles(x86)%\steam\remoteui\static\headsdown.js.e3b466
- %ProgramFiles(x86)%\steam\remoteui\static\playercontrols.css в %ProgramFiles(x86)%\steam\remoteui\static\playercontrols.css.e3b466
- %ProgramFiles(x86)%\mirc\defaults\mirc.ini в %ProgramFiles(x86)%\mirc\defaults\mirc.ini.e3b466
- %APPDATA%\mra\installerlang.xml в %APPDATA%\mra\installerlang.xml.e3b466
- %APPDATA%\winamp\demo.mp3 в %APPDATA%\winamp\demo.mp3.e3b466
- %ProgramFiles(x86)%\steam\thirdpartylegalnotices.css в %ProgramFiles(x86)%\steam\thirdpartylegalnotices.css.e3b466
- %ProgramFiles(x86)%\winamp\paths.ini в %ProgramFiles(x86)%\winamp\paths.ini.e3b466
- %ProgramFiles(x86)%\opera\launcher.visualelementsmanifest.xml в %ProgramFiles(x86)%\opera\launcher.visualelementsmanifest.xml.e3b466
- %ProgramFiles(x86)%\opera\installer_prefs.json в %ProgramFiles(x86)%\opera\installer_prefs.json.e3b466
- %ProgramFiles(x86)%\steam\libx264-142.dll.md5 в %ProgramFiles(x86)%\steam\libx264-142.dll.md5.e3b466
- %ProgramFiles(x86)%\steam\libav_h264-56.dll.md5 в %ProgramFiles(x86)%\steam\libav_h264-56.dll.md5.e3b466
- %ProgramFiles(x86)%\winamp\pconfig.dcf в %ProgramFiles(x86)%\winamp\pconfig.dcf.e3b466
- %ProgramFiles(x86)%\k-lite codec pack\icaros\ffmpeg license.txt в %ProgramFiles(x86)%\k-lite codec pack\icaros\ffmpeg license.txt.e3b466
- %ProgramFiles(x86)%\winamp\install.ini в %ProgramFiles(x86)%\winamp\install.ini.e3b466
- %ProgramFiles(x86)%\k-lite codec pack\icaros\icaros license.txt в %ProgramFiles(x86)%\k-lite codec pack\icaros\icaros license.txt.e3b466
- %ProgramFiles(x86)%\opera\resources.pri в %ProgramFiles(x86)%\opera\resources.pri.e3b466
- %ProgramFiles(x86)%\opera\server_tracking_data в %ProgramFiles(x86)%\opera\server_tracking_data.e3b466
- %ProgramFiles(x86)%\mirc\readme.txt в %ProgramFiles(x86)%\mirc\readme.txt.e3b466
- C:\users\all users\microsoft toolkit\settings.xml в C:\users\all users\microsoft toolkit\settings.xml.e3b466
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\rtc.der в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\rtc.der.e3b466
- %ProgramFiles(x86)%\qip 2012\unins000.msg в %ProgramFiles(x86)%\qip 2012\unins000.msg.e3b466
- %ProgramFiles(x86)%\opera\installation_status.xml в %ProgramFiles(x86)%\opera\installation_status.xml.e3b466
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agmgpuoptin.ini в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\agmgpuoptin.ini.e3b466
- %ProgramFiles(x86)%\mirc\ircintro.chm в %ProgramFiles(x86)%\mirc\ircintro.chm.e3b466
- %ProgramFiles(x86)%\steam\libx264-142.dll.crypt в %ProgramFiles(x86)%\steam\libx264-142.dll.crypt.e3b466
- %ProgramFiles(x86)%\winamp\whatsnew.txt в %ProgramFiles(x86)%\winamp\whatsnew.txt.e3b466
- %ProgramFiles(x86)%\steam\steam.exe.old в %ProgramFiles(x86)%\steam\steam.exe.old.e3b466
- %ProgramFiles(x86)%\mirc\mirc.chm в %ProgramFiles(x86)%\mirc\mirc.chm.e3b466
- %ProgramFiles(x86)%\microsoft office\office14\1033\vbaows10.chm в %ProgramFiles(x86)%\microsoft office\office14\1033\vbaows10.chm.e3b466
- %ProgramFiles(x86)%\mirc\versions.txt в %ProgramFiles(x86)%\mirc\versions.txt.e3b466
- %ProgramFiles(x86)%\qip 2012\unins000.dat в %ProgramFiles(x86)%\qip 2012\unins000.dat.e3b466
- %ProgramFiles(x86)%\k-lite codec pack\unins000.dat в %ProgramFiles(x86)%\k-lite codec pack\unins000.dat.e3b466
- %ProgramFiles(x86)%\steam\libav_h264-56.dll.crypt в %ProgramFiles(x86)%\steam\libav_h264-56.dll.crypt.e3b466
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest.e3b466
- %ProgramFiles(x86)%\microsoft office\office10\trigram.lex в %ProgramFiles(x86)%\microsoft office\office10\trigram.lex.e3b466
- %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\javascripts\jsbytecodewin.bin в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\javascripts\jsbytecodewin.bin.e3b466
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\vssadmin.exe' delete shadows /all /quiet' (со скрытым окном)
