Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\correct.avi
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\garden.htm
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\tree_view.htm
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\music\recover-files.txt
- %HOMEPATH%\favorites\windows live\recover-files.txt
- C:\users\public\desktop\recover-files.txt
- %HOMEPATH%\desktop\recover-files.txt
- %APPDATA%\microsoft\windows\recent\recover-files.txt
- %APPDATA%\microsoft\windows\recent\automaticdestinations\recover-files.txt
- %APPDATA%\microsoft\windows\recent\customdestinations\recover-files.txt
- %HOMEPATH%\music\recover-files.txt
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\info.hta
- %HOMEPATH%\videos\recover-files.txt
- %HOMEPATH%\downloads\recover-files.txt
- %HOMEPATH%\links\recover-files.txt
- %HOMEPATH%\contacts\recover-files.txt
- %HOMEPATH%\delshades.bat
- %HOMEPATH%\desktop\info.hta
- %HOMEPATH%\favorites\msn websites\recover-files.txt
- %HOMEPATH%\pictures\recover-files.txt
- %HOMEPATH%\favorites\microsoft websites\recover-files.txt
- %APPDATA%\microsoft\windows\cookies\recover-files.txt
- C:\users\public\music\sample music\recover-files.txt
- C:\users\public\pictures\recover-files.txt
- C:\users\public\pictures\sample pictures\recover-files.txt
- C:\users\public\videos\recover-files.txt
- C:\users\public\videos\sample videos\recover-files.txt
- %ALLUSERSPROFILE%\microsoft\windows\templates\recover-files.txt
- %APPDATA%\microsoft\windows\cookies\low\recover-files.txt
- %HOMEPATH%\favorites\links\recover-files.txt
- %LOCALAPPDATA%\microsoft\windows\history\recover-files.txt
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\recover-files.txt
- %LOCALAPPDATA%\microsoft\windows\history\low\recover-files.txt
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012015112320151124\recover-files.txt
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012016081820160819\recover-files.txt
- %HOMEPATH%\favorites\recover-files.txt
- %HOMEPATH%\favorites\links for united states\recover-files.txt
- %HOMEPATH%\windowsupdatetemp.bat
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>
- %HOMEPATH%\delshades.bat
- %HOMEPATH%\windowsupdatetemp.bat
Удаляет следующие файлы
- %HOMEPATH%\delshades.bat
Перемещает следующие файлы
- %APPDATA%\microsoft\windows\cookies\user@246059135.log.optimizely[1].txt в %APPDATA%\microsoft\windows\cookies\user@246059135.log.optimizely[1].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@yandex[1].txt в %APPDATA%\microsoft\windows\cookies\user@yandex[1].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@www.msn[3].txt в %APPDATA%\microsoft\windows\cookies\user@www.msn[3].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@www.msn[2].txt в %APPDATA%\microsoft\windows\cookies\user@www.msn[2].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@www.bing[1].txt в %APPDATA%\microsoft\windows\cookies\user@www.bing[1].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@sportiv[2].txt в %APPDATA%\microsoft\windows\cookies\user@sportiv[2].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@scorecardresearch[3].txt в %APPDATA%\microsoft\windows\cookies\user@scorecardresearch[3].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@scorecardresearch[2].txt в %APPDATA%\microsoft\windows\cookies\user@scorecardresearch[2].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@onlinestores.metaservices.microsoft[1].txt в %APPDATA%\microsoft\windows\cookies\user@onlinestores.metaservices.microsoft[1].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@msn[2].txt в %APPDATA%\microsoft\windows\cookies\user@msn[2].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@msn[1].txt в %APPDATA%\microsoft\windows\cookies\user@msn[1].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@mozilla[2].txt в %APPDATA%\microsoft\windows\cookies\user@mozilla[2].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@demdex[2].txt в %APPDATA%\microsoft\windows\cookies\user@demdex[2].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@c.msn[2].txt в %APPDATA%\microsoft\windows\cookies\user@c.msn[2].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@c.msn[1].txt в %APPDATA%\microsoft\windows\cookies\user@c.msn[1].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@c.bing[2].txt в %APPDATA%\microsoft\windows\cookies\user@c.bing[2].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@c.bing[1].txt в %APPDATA%\microsoft\windows\cookies\user@c.bing[1].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@bing[2].txt в %APPDATA%\microsoft\windows\cookies\user@bing[2].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@bing[1].txt в %APPDATA%\microsoft\windows\cookies\user@bing[1].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@adobe[3].txt в %APPDATA%\microsoft\windows\cookies\user@adobe[3].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@adobe[1].txt в %APPDATA%\microsoft\windows\cookies\user@adobe[1].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@adnxs[1].txt в %APPDATA%\microsoft\windows\cookies\user@adnxs[1].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\cookies\user@yandex[2].txt в %APPDATA%\microsoft\windows\cookies\user@yandex[2].txt.id-bb84gji2.[xd@xd.xd].gdt
- %APPDATA%\microsoft\windows\recent\activator.lnk в %APPDATA%\microsoft\windows\recent\activator.lnk.id-bb84gji2.[xd@xd.xd].gdt
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'Media Center Tray Applet' WindowName: ''
- ClassName: '' WindowName: 'View Available Networks'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%HOMEPATH%\Delshades.bat""
- '<SYSTEM32>\vssvc.exe'
- '%WINDIR%\explorer.exe'
- '%WINDIR%\syswow64\mshta.exe' "%HOMEPATH%\Desktop\Info.hta"
- '%WINDIR%\syswow64\mshta.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\StartUp\Info.hta"
- '%WINDIR%\syswow64\cmd.exe' /c ""%HOMEPATH%\WindowsUpdateTemp.bat""
- '%WINDIR%\syswow64\timeout.exe' /t 05
