Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\!!!_read_me_c165bcb4_!!!.txt
- <Имя диска съемного носителя>:\advice_process.htm
- <Имя диска съемного носителя>:\64bit_notes.htm
- <Имя диска съемного носителя>:\garden.htm
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dialmap.bmp
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\browse.htm
- <Имя диска съемного носителя>:\ituneshelpunavailable.htm
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- g:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini
- C:\users\public\documents\!!!_read_me_c165bcb4_!!!.txt
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\!!!_read_me_c165bcb4_!!!.txt
- g:\!!!_read_me_c165bcb4_!!!.txt
- D:\!!!_read_me_c165bcb4_!!!.txt
- g:\$recycle.bin\!!!_read_me_c165bcb4_!!!.txt
- g:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\!!!_read_me_c165bcb4_!!!.txt
- g:\boot\!!!_read_me_c165bcb4_!!!.txt
- D:\$recycle.bin\!!!_read_me_c165bcb4_!!!.txt
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\!!!_read_me_c165bcb4_!!!.txt
- g:\boot\cs-cz\!!!_read_me_c165bcb4_!!!.txt
- g:\boot\da-dk\!!!_read_me_c165bcb4_!!!.txt
- g:\boot\de-de\!!!_read_me_c165bcb4_!!!.txt
- g:\boot\el-gr\!!!_read_me_c165bcb4_!!!.txt
Присваивает атрибут 'скрытый' для следующих файлов
- g:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wbem\wmic.exe' shadowcopy delete' (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {default} recoveryenabled No' (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy IgnoreAllFailures' (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {globalsettings} advancedoptions false' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy IgnoreAllFailures
- '<SYSTEM32>\bcdedit.exe' /set {globalsettings} advancedoptions false
