Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Classes\.5A595725\shell\Open\command] '' = 'explorer.exe RecoveryManual.html'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\howto-index.html
- <Имя диска съемного носителя>:\about.html
- <Имя диска съемного носителя>:\1189.jpeg
- <Имя диска съемного носителя>:\168.jpeg
- <Имя диска съемного носителя>:\2.jpeg
- <Имя диска съемного носителя>:\region-north-karelia.jpeg
- <Имя диска съемного носителя>:\13.jpeg
- <Имя диска съемного носителя>:\508softwareandos.doc
- <Имя диска съемного носителя>:\parnas_01.jpeg
- <Имя диска съемного носителя>:\2.jpg
- <Имя диска съемного носителя>:\region-north-karelia.jpg
- <Имя диска съемного носителя>:\13.jpg
- <Имя диска съемного носителя>:\1189.jpg
- <Имя диска съемного носителя>:\168.jpg
- <Имя диска съемного носителя>:\scan.mov
- <Имя диска съемного носителя>:\spanner.mov
- <Имя диска съемного носителя>:\adadsi.html
- <Имя диска съемного носителя>:\trivial-merge.html
- <Имя диска съемного носителя>:\ituneshelpunavailable.html
- <Имя диска съемного носителя>:\iisstart.htm
- <Имя диска съемного носителя>:\tree_view.htm
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\etc6_m_1.mov
- <Имя диска съемного носителя>:\parnas_01.jpg
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\garden.htm
- <Имя диска съемного носителя>:\recoverymanual.html
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\clip_1080_5sec_10mbps_h264.mp4
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\~1083832.tmp
- C:\far2\fexcept\recoverymanual.html
- C:\far2\encyclopedia\tap\recoverymanual.html
- C:\far2\encyclopedia\recoverymanual.html
- C:\far2\documentation\rus\recoverymanual.html
- C:\far2\documentation\eng\recoverymanual.html
- C:\far2\recoverymanual.html
- C:\far2\addons\xlat\russian\recoverymanual.html
- C:\far2\plugins\align\recoverymanual.html
- C:\far2\addons\xlat\recoverymanual.html
- C:\far2\addons\setup\recoverymanual.html
- C:\far2\addons\macros\recoverymanual.html
- C:\far2\addons\recoverymanual.html
- C:\far2\addons\colors\recoverymanual.html
- C:\far2\addons\colors\default_highlighting\recoverymanual.html
- C:\far2\addons\colors\custom_highlighting\recoverymanual.html
- D:\recoverymanual.html
- C:\far2\addons\shell\recoverymanual.html
- C:\far2\plugins\arclite\recoverymanual.html
Удаляет следующие файлы
- %TEMP%\~1083832.tmp
Подменяет следующие исполняемые файлы
- C:\Far2\Plugins\arclite\7z.sfx
- C:\Far2\Plugins\arclite\7zCon.sfx
- C:\Far2\Plugins\arclite\7zS2.sfx
- C:\Far2\Plugins\arclite\7zS2con.sfx
- C:\Far2\Plugins\arclite\7zSD.sfx
Подменяет следующие файлы
- D:\install.log
- C:\Far2\Addons\SetUp\Executor_4NT.reg
- C:\Far2\Addons\SetUp\Executor_CMD.reg
- C:\Far2\Addons\SetUp\WindowsGUI.reg
- C:\Far2\Addons\Shell\Descript.ion
- C:\Far2\Addons\XLat\Descript.ion
- C:\Far2\Addons\XLat\Russian\AltR.reg
- C:\Far2\Addons\XLat\Russian\CtrlR.reg
- C:\Far2\Documentation\eng\Bug_Report.txt
- C:\Far2\Addons\XLat\Russian\CtrlShiftX.reg
- C:\Far2\Addons\XLat\Russian\Descript.ion
- C:\Far2\Addons\XLat\Russian\Qwerty.reg
- C:\Far2\changelog
- C:\Far2\changelog_eng
- C:\Far2\Documentation\eng\Arc_Support.txt
- C:\Far2\Addons\SetUp\Descript.ion
- C:\Far2\Addons\XLat\Russian\Apps.reg
- C:\Far2\Addons\SetUp\Default165.reg
- C:\Far2\Addons\Macros\ShiftBS.reg
- C:\Far2\Addons\Macros\Panel_JumpToSelectedFile.reg
- C:\Far2\Addons\Macros\Panel_Lynx_mot.reg
- C:\Far2\Addons\Macros\Panel_MouseWheelTilt.reg
- C:\Far2\Addons\Macros\Panel_Numpad.reg
- C:\Far2\Addons\Macros\Panel_SelectFromClipboard.reg
- C:\Far2\Addons\Macros\Panel_SpaceToSelect.reg
- C:\Far2\Addons\Macros\ShiftF1.reg
- C:\Far2\Addons\Macros\WheelScreenSwitch.reg
- C:\Far2\Addons\Macros\ShiftTab.reg
- C:\Far2\Addons\Macros\View_CtrlUpDown.reg
- C:\Far2\Addons\Macros\View_NextPrevFile.reg
- C:\Far2\Addons\Macros\View_PgDn.reg
- C:\Far2\Addons\Macros\View_ShiftInsSearch.reg
- C:\Far2\Addons\Macros\View_Space.reg
- C:\Far2\Addons\README.TXT
- C:\Far2\Documentation\eng\Far_FAQ.txt
- C:\Far2\Documentation\eng\Plugins_Install.txt
- C:\Far2\Documentation\eng\Plugins_Review.txt
- C:\Far2\FarRus.lng
- C:\Far2\FarSpa.lng
- C:\Far2\FExcept\changelog
- C:\Far2\FExcept\SetFarExceptionHandler.reg
- C:\Far2\File_id.diz
- C:\Far2\FarPol.lng
- C:\Far2\FarRus.hlf
- C:\Far2\Plugins\Align\Align.map
- C:\Far2\Plugins\Align\changelog
- C:\Far2\Plugins\arclite\arclite.map
- C:\Far2\Plugins\arclite\arclite_eng.hlf
- C:\Far2\Plugins\arclite\arclite_eng.lng
- C:\Far2\Plugins\arclite\arclite_rus.hlf
- C:\Far2\Plugins\Align\AlignEng.lng
- C:\Far2\Plugins\Align\AlignRus.lng
- C:\Far2\FarHun.lng
- C:\Far2\FarHun.hlf
- C:\Far2\FarGer.lng
- C:\Far2\Documentation\rus\Arc_Support.txt
- C:\Far2\Documentation\rus\Bug_Report.txt
- C:\Far2\Documentation\rus\Far_FAQ.txt
- C:\Far2\Documentation\rus\Plugins_Install.txt
- C:\Far2\Documentation\rus\Plugins_Review.txt
- C:\Far2\Documentation\rus\TechInfo.txt
- C:\Far2\Documentation\eng\TechInfo.txt
- C:\Far2\Encyclopedia\FarEncyclopedia_ru.chm
- C:\Far2\Encyclopedia\tap\code.bin
- C:\Far2\Encyclopedia\tap\code.idb
- C:\Far2\far.map
- C:\Far2\FarCze.lng
- C:\Far2\FarEng.hlf
- C:\Far2\FarEng.lng
- C:\Far2\Encyclopedia\tap\12_r0m.tap
- C:\Far2\Addons\Macros\Panel_Esc.reg
- C:\Far2\Plugins\arclite\arclite_rus.lng
- C:\Far2\Addons\Macros\Panel_Del.reg
- C:\Far2\Addons\Macros\Panel_CtrlShiftBackSlash.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Descript.ion
- C:\Far2\Addons\Colors\Custom_Highlighting\dn_like.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\FARColors242.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\GreenMile.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\hell.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\nc5pal2.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\VaxColors.reg
- C:\Far2\Addons\Colors\Default_Highlighting\Colors_from_Sadovoj.reg
- C:\Far2\Addons\Colors\Default_Highlighting\black_from_Fonarev.reg
- <Имя диска съемного носителя>:\cveuropeo.doc
- C:\Far2\Addons\Colors\Default_Highlighting\black_from_july.reg
- C:\Far2\Addons\Colors\Default_Highlighting\black_from_Myodov.reg
- C:\Far2\Addons\Colors\Default_Highlighting\Colors_from_admin_essp_ru.reg
- C:\Far2\Addons\Colors\Default_Highlighting\Colors_from_Gernichenko.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Colors_from_Sadovoj.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Rodion_Doroshkevich.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Colors_from_Gernichenko.reg
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\dashBorder_192.bmp
- <Имя диска съемного носителя>:\dashBorder_96.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\dashBorder_120.bmp
- <Имя диска съемного носителя>:\pmd.cer
- C:\Far2\Addons\Colors\Custom_Highlighting\black_from_Myodov.reg
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\508softwareandos.doc
- C:\Far2\Addons\Colors\Custom_Highlighting\black_from_Fonarev.reg
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- C:\Far2\Addons\Colors\Custom_Highlighting\black_from_july.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Colors_from_admin_essp_ru.reg
- C:\Far2\Addons\Colors\Default_Highlighting\Descript.ion
- C:\Far2\Addons\Colors\Default_Highlighting\dn_like.reg
- C:\Far2\Addons\Colors\Default_Highlighting\FARColors242.reg
- C:\Far2\Addons\Macros\Edit_SaveFile.reg
- C:\Far2\Addons\Macros\F3.reg
- C:\Far2\Addons\Macros\F9DeactivateMenu.reg
- C:\Far2\Addons\Macros\F9Table.reg
- C:\Far2\Addons\Macros\MacroConsts.reg
- C:\Far2\Addons\Macros\Edit_Notepad.reg
- C:\Far2\Addons\Macros\Edit_SaveAndExit.reg
- C:\Far2\Addons\Macros\OpeningLastFile.reg
- C:\Far2\Addons\Macros\Panel_BS.reg
- C:\Far2\Addons\Macros\Panel_CtrlIns__.reg
- C:\Far2\Addons\Macros\Panel_CtrlLeft.reg
- C:\Far2\Addons\Macros\Panel_CtrlQ.reg
- C:\Far2\Addons\Macros\Panel_CtrlRight.reg
- C:\Far2\Addons\Macros\Panel_AltBS.reg
- C:\Far2\Addons\Macros\Panel_Apps.reg
- C:\Far2\Addons\Macros\Dialog_AltDown.reg
- C:\Far2\Addons\Macros\Descript.ion
- C:\Far2\Addons\Macros\CtrlF10.reg
- C:\Far2\Addons\Colors\Default_Highlighting\hell.reg
- C:\Far2\Addons\Colors\Default_Highlighting\nc5pal2.reg
- C:\Far2\Addons\Colors\Default_Highlighting\Rodion_Doroshkevich.reg
- C:\Far2\Addons\Colors\Default_Highlighting\VaxColors.reg
- C:\Far2\Addons\Colors\Descript.ion
- C:\Far2\Addons\Descript.ion
- C:\Far2\Addons\Colors\Default_Highlighting\GreenMile.reg
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- C:\Far2\Addons\Macros\AltMenu.reg
- <Имя диска съемного носителя>:\fi51.doc
- C:\Far2\Addons\Macros\AltScreens.reg
- C:\Far2\Addons\Macros\AltSearch.reg
- C:\Far2\Addons\Macros\AltX.reg
- C:\Far2\Addons\Macros\CtrlDel.reg
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- C:\Far2\Addons\Macros\Panel_CtrlShiftPgUpDn.reg
- C:\Far2\Plugins\arclite\changelog
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -windowstyle hidden -c $mypid='2344';[System.IO.File]::ReadAllText('%TEMP%\~1083832.tmp')|iex
