Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\openthis.html
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\desktop\tree_view.html
- %HOMEPATH%\desktop\tree_view.htm
- %HOMEPATH%\desktop\tileimage.bmp
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\ituneshelpunavailable.html
- %HOMEPATH%\desktop\ituneshelpunavailable.htm
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\iisstart.htm
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\garden.htm
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\alert.html
- %HOMEPATH%\desktop\alert.htm
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\2.jpeg
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\amdkey.bat
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\windows explorer.lnk.redroman
- %HOMEPATH%\downloads\mirc741.exe.redroman
- %HOMEPATH%\downloads\chromesetup.exe.redroman
- %HOMEPATH%\downloads\k-lite_codec_pack_1110_mega_dlm.exe.redroman
- %HOMEPATH%\desktop\icq.lnk.redroman
- %HOMEPATH%\desktop\dotnetfx45_full_setup.exe.redroman
- %HOMEPATH%\desktop\mail.ru agent.lnk.redroman
- %HOMEPATH%\desktop\qip 2012.lnk.redroman
- %HOMEPATH%\desktop\total commander 64 bit.lnk.redroman
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.redroman
- %HOMEPATH%\desktop\testcertificate.cer.redroman
- %HOMEPATH%\desktop\telegram.lnk.redroman
- %HOMEPATH%\desktop\tcm851ax32.exe.redroman
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\windows media player.lnk.redroman
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\mail.ru agent.lnk.redroman
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\internet explorer.lnk.redroman
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\icq.lnk.redroman
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\google chrome.lnk.redroman
- %HOMEPATH%\desktop\weeklysheet1215.doc.redroman
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc.redroman
- %HOMEPATH%\desktop\000814251_video_01.avi.redroman
- %APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\opera.lnk.redroman
- %HOMEPATH%\desktop\skypesetup.exe.redroman
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Start-Process %ALLUSERSPROFILE%\amdkey.bat -Verb runas
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden get-wmiobject win32_computersystem | "fl model"
- '<SYSTEM32>\cmd.exe' /C "%ALLUSERSPROFILE%\amdkey.bat"
