Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Classes\.EF9E23B4\shell\Open\command] '' = 'explorer.exe RecoveryManual.html'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\iisstart.htm
- <Имя диска съемного носителя>:\tree_view.htm
- <Имя диска съемного носителя>:\about.htm
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\tree_view.html
- <Имя диска съемного носителя>:\api-hashmap.html
- <Имя диска съемного носителя>:\trivial-merge.html
- <Имя диска съемного носителя>:\alert.html
- <Имя диска съемного носителя>:\pushkin.jpeg
- <Имя диска съемного носителя>:\168.jpeg
- <Имя диска съемного носителя>:\firefly1.mov
- <Имя диска съемного носителя>:\13.jpeg
- <Имя диска съемного носителя>:\parnas_01.jpeg
- <Имя диска съемного носителя>:\2.jpg
- <Имя диска съемного носителя>:\13.jpg
- <Имя диска съемного носителя>:\168.jpg
- <Имя диска съемного носителя>:\3.jpg
- <Имя диска съемного носителя>:\pushkin.jpg
- <Имя диска съемного носителя>:\region-north-karelia.jpg
- <Имя диска съемного носителя>:\scan.mov
- <Имя диска съемного носителя>:\64bit_notes.htm
- <Имя диска съемного носителя>:\region-north-karelia.jpeg
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\recoverymanual.html
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\dial.bmp
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\nwfieldnotes1966.docx
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\video.mp4
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\~1059106.tmp
- C:\far2\fexcept\recoverymanual.html
- C:\far2\encyclopedia\tap\recoverymanual.html
- C:\far2\encyclopedia\recoverymanual.html
- C:\far2\documentation\rus\recoverymanual.html
- C:\far2\documentation\eng\recoverymanual.html
- C:\far2\recoverymanual.html
- C:\far2\addons\xlat\russian\recoverymanual.html
- C:\far2\plugins\align\recoverymanual.html
- C:\far2\addons\xlat\recoverymanual.html
- C:\far2\addons\setup\recoverymanual.html
- C:\far2\addons\macros\recoverymanual.html
- C:\far2\addons\recoverymanual.html
- C:\far2\addons\colors\recoverymanual.html
- C:\far2\addons\colors\default_highlighting\recoverymanual.html
- C:\far2\addons\colors\custom_highlighting\recoverymanual.html
- D:\recoverymanual.html
- C:\far2\addons\shell\recoverymanual.html
- C:\far2\plugins\arclite\recoverymanual.html
Удаляет следующие файлы
- %TEMP%\~1059106.tmp
Подменяет следующие исполняемые файлы
- C:\Far2\Plugins\arclite\7z.sfx
- C:\Far2\Plugins\arclite\7zCon.sfx
- C:\Far2\Plugins\arclite\7zS2.sfx
- C:\Far2\Plugins\arclite\7zS2con.sfx
- C:\Far2\Plugins\arclite\7zSD.sfx
Подменяет следующие файлы
- D:\install.log
- C:\Far2\Addons\Macros\View_Space.reg
- C:\Far2\Addons\Macros\WheelScreenSwitch.reg
- C:\Far2\Addons\README.TXT
- C:\Far2\Addons\SetUp\Default165.reg
- C:\Far2\Addons\SetUp\Descript.ion
- C:\Far2\Addons\SetUp\Executor_4NT.reg
- C:\Far2\Addons\SetUp\WindowsGUI.reg
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- C:\Far2\Addons\Shell\Descript.ion
- C:\Far2\Addons\XLat\Descript.ion
- C:\Far2\Addons\XLat\Russian\AltR.reg
- C:\Far2\Addons\XLat\Russian\Apps.reg
- C:\Far2\Addons\XLat\Russian\CtrlR.reg
- C:\Far2\Addons\XLat\Russian\CtrlShiftX.reg
- C:\Far2\Addons\Macros\View_ShiftInsSearch.reg
- C:\Far2\Addons\Macros\View_PgDn.reg
- C:\Far2\Addons\Macros\View_NextPrevFile.reg
- C:\Far2\Addons\Macros\View_CtrlUpDown.reg
- C:\Far2\Addons\Macros\ShiftTab.reg
- C:\Far2\Addons\Macros\ShiftF1.reg
- C:\Far2\Addons\Macros\ShiftBS.reg
- C:\Far2\Addons\Macros\Panel_SpaceToSelect.reg
- C:\Far2\Addons\Macros\Panel_SelectFromClipboard.reg
- C:\Far2\Addons\SetUp\Executor_CMD.reg
- C:\Far2\Addons\Macros\Panel_Numpad.reg
- C:\Far2\Addons\Macros\Panel_MouseWheelTilt.reg
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- C:\Far2\Addons\Macros\Panel_Lynx_mot.reg
- C:\Far2\Addons\Macros\Panel_JumpToSelectedFile.reg
- C:\Far2\Addons\Macros\Panel_Esc.reg
- C:\Far2\Addons\XLat\Russian\Descript.ion
- C:\Far2\Addons\XLat\Russian\Qwerty.reg
- C:\Far2\changelog
- C:\Far2\changelog_eng
- C:\Far2\FarEng.hlf
- C:\Far2\FarEng.lng
- C:\Far2\FarGer.lng
- C:\Far2\FarHun.hlf
- C:\Far2\FarHun.lng
- C:\Far2\FarPol.lng
- C:\Far2\FarRus.lng
- C:\Far2\Addons\Macros\Panel_Del.reg
- C:\Far2\FarSpa.lng
- C:\Far2\FExcept\changelog
- C:\Far2\FExcept\SetFarExceptionHandler.reg
- C:\Far2\File_id.diz
- C:\Far2\Plugins\Align\Align.map
- C:\Far2\Plugins\Align\AlignEng.lng
- C:\Far2\FarCze.lng
- C:\Far2\Documentation\rus\Bug_Report.txt
- C:\Far2\far.map
- C:\Far2\Documentation\rus\Arc_Support.txt
- C:\Far2\Documentation\eng\Arc_Support.txt
- C:\Far2\Documentation\eng\Bug_Report.txt
- C:\Far2\Documentation\eng\Far_FAQ.txt
- C:\Far2\Documentation\eng\Plugins_Install.txt
- C:\Far2\Documentation\eng\Plugins_Review.txt
- C:\Far2\Documentation\eng\TechInfo.txt
- C:\Far2\Plugins\Align\AlignRus.lng
- C:\Far2\Encyclopedia\tap\code.bin
- C:\Far2\Documentation\rus\Far_FAQ.txt
- C:\Far2\Documentation\rus\Plugins_Install.txt
- C:\Far2\Documentation\rus\Plugins_Review.txt
- C:\Far2\Documentation\rus\TechInfo.txt
- C:\Far2\Encyclopedia\FarEncyclopedia_ru.chm
- C:\Far2\Encyclopedia\tap\12_r0m.tap
- C:\Far2\Encyclopedia\tap\code.idb
- C:\Far2\FarRus.hlf
- C:\Far2\Addons\Macros\Panel_CtrlShiftPgUpDn.reg
- C:\Far2\Addons\Macros\MacroConsts.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Colors_from_Gernichenko.reg
- <Имя диска съемного носителя>:\fi51.doc
- C:\Far2\Addons\Colors\Custom_Highlighting\Colors_from_Sadovoj.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Descript.ion
- C:\Far2\Addons\Colors\Custom_Highlighting\dn_like.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\FARColors242.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\hell.reg
- <Имя диска съемного носителя>:\dial.bmp
- C:\Far2\Addons\Colors\Custom_Highlighting\nc5pal2.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Rodion_Doroshkevich.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\VaxColors.reg
- C:\Far2\Addons\Colors\Default_Highlighting\black_from_Fonarev.reg
- C:\Far2\Addons\Colors\Default_Highlighting\black_from_july.reg
- C:\Far2\Addons\Colors\Default_Highlighting\black_from_Myodov.reg
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\TestCertificate.cer
- <Имя диска съемного носителя>:\SDKSamplePrivDeveloper.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\SDKFailsafeEmulator.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\dashBorder_144.bmp
- <Имя диска съемного носителя>:\dashBorder_120.bmp
- C:\Far2\Addons\Colors\Custom_Highlighting\GreenMile.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Colors_from_admin_essp_ru.reg
- <Имя диска съемного носителя>:\split.avi
- C:\Far2\Addons\Colors\Custom_Highlighting\black_from_Myodov.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\black_from_july.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\black_from_Fonarev.reg
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\delete.avi
- C:\Far2\Addons\Colors\Default_Highlighting\Colors_from_admin_essp_ru.reg
- C:\Far2\Addons\Colors\Default_Highlighting\Colors_from_Gernichenko.reg
- C:\Far2\Addons\Colors\Default_Highlighting\Colors_from_Sadovoj.reg
- C:\Far2\Addons\Colors\Default_Highlighting\Descript.ion
- C:\Far2\Addons\Macros\Edit_Notepad.reg
- C:\Far2\Addons\Macros\Edit_SaveAndExit.reg
- C:\Far2\Addons\Macros\Edit_SaveFile.reg
- C:\Far2\Addons\Macros\F3.reg
- C:\Far2\Addons\Macros\F9DeactivateMenu.reg
- C:\Far2\Addons\Macros\F9Table.reg
- C:\Far2\Addons\Macros\OpeningLastFile.reg
- C:\Far2\Addons\Macros\Panel_CtrlShiftBackSlash.reg
- C:\Far2\Addons\Macros\Panel_AltBS.reg
- C:\Far2\Addons\Macros\Panel_Apps.reg
- C:\Far2\Addons\Macros\Panel_BS.reg
- C:\Far2\Addons\Macros\Panel_CtrlIns__.reg
- C:\Far2\Addons\Macros\Panel_CtrlLeft.reg
- C:\Far2\Addons\Macros\Panel_CtrlQ.reg
- C:\Far2\Addons\Macros\Dialog_AltDown.reg
- C:\Far2\Addons\Colors\Descript.ion
- <Имя диска съемного носителя>:\cveuropeo.doc
- C:\Far2\Addons\Colors\Default_Highlighting\VaxColors.reg
- C:\Far2\Addons\Colors\Default_Highlighting\dn_like.reg
- C:\Far2\Addons\Colors\Default_Highlighting\FARColors242.reg
- C:\Far2\Addons\Colors\Default_Highlighting\GreenMile.reg
- C:\Far2\Addons\Colors\Default_Highlighting\hell.reg
- C:\Far2\Addons\Colors\Default_Highlighting\nc5pal2.reg
- C:\Far2\Addons\Colors\Default_Highlighting\Rodion_Doroshkevich.reg
- C:\Far2\Addons\Macros\Panel_CtrlRight.reg
- C:\Far2\Addons\Macros\CtrlF10.reg
- C:\Far2\Addons\Descript.ion
- C:\Far2\Addons\Macros\AltMenu.reg
- C:\Far2\Addons\Macros\AltScreens.reg
- C:\Far2\Addons\Macros\AltSearch.reg
- C:\Far2\Addons\Macros\AltX.reg
- C:\Far2\Addons\Macros\CtrlDel.reg
- C:\Far2\Addons\Macros\Descript.ion
- C:\Far2\Plugins\Align\changelog
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -windowstyle hidden -c $mypid='2420';[System.IO.File]::ReadAllText('%TEMP%\~1059106.tmp')|iex
- '<SYSTEM32>\vssvc.exe'
