Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\EFS] 'Start' = '00000002'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\diskraid.exe
следующие пользовательские процессы:
- 64bitmapibroker.exe
Изменения в файловой системе
Удаляет следующие файлы
- %WINDIR%\prefetch\cmd.exe-4a81b364.pf
- %WINDIR%\prefetch\aspnet_regiis.exe-b76f1ad7.pf
- %WINDIR%\prefetch\regedit.exe-90feea06.pf
- %WINDIR%\prefetch\regsvcs.exe-a54ad617.pf
- %WINDIR%\prefetch\regtlib.exe-e21980a2.pf
- %WINDIR%\prefetch\schtasks.exe-5ca45734.pf
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\diskraid.exe' {"variant":4,"path":"C:\\qattja\\<Имя файла>.exe","processid":2280,"uid":"0593a4d57ed267d552c8cd0d0bce128e"}
