Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Service' = '"%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\servicesmc.exe"'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\servicesmc
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\lsass.exe
- <SYSTEM32>\wbem\wmiprvse.exe
- <SYSTEM32>\dwm.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktopdecrypt_me.txt
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'wz#.#agekite.me':80
UDP
- DNS ASK wz#.#agekite.me
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C vssadmin Delete Shadows /All /Quiet
