Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'empty'
Подменяет следующие исполняемые системные файлы
- <SYSTEM32>\LogonUI.exe файлом <SYSTEM32>\logonui.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\ituneshelpunavailable.htm
- %HOMEPATH%\desktop\garden.htm
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\toolbar.bmp
Изменения в файловой системе
Создает следующие файлы
- C:\ransomware.exe
- C:\window.bat
- %TEMP%\logonui.exe
- <SYSTEM32>logonui.exe
Удаляет следующие файлы
- <SYSTEM32>\logonui.exe
- <SYSTEM32>\taskmgr.exe
- %WINDIR%\microsoft.net\framework\v4.0.30319\default.win32manifest
- %WINDIR%\microsoft.net\framework64\v4.0.30319\default.win32manifest
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- 'C:\ransomware.exe'
- '<SYSTEM32>\cmd.exe' /k color 47 && takeown /f <SYSTEM32>\LogonUI.exe && icacls <SYSTEM32>\LogonUI.exe /grant %username%:F && copy <SYSTEM32>\LogonUI.exe %temp%\LogonUI.exe && del <SYSTEM32>\LogonUI.exe && takeown ...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""C:\window.bat""
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=g: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=g: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=f: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=f: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=e: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=e: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=d: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=d: /maxsize=401MB
- '<SYSTEM32>\icacls.exe' <SYSTEM32>\Taskmgr.exe /grant user:F
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=c: /maxsize=unbounded
- '<SYSTEM32>\takeown.exe' /f <SYSTEM32>\Taskmgr.exe
- '<SYSTEM32>\icacls.exe' <SYSTEM32>\LogonUI.exe /grant user:F
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=c: /maxsize=401MB
- '<SYSTEM32>\takeown.exe' /f <SYSTEM32>\LogonUI.exe
- '<SYSTEM32>\cmd.exe' /k color 47 && takeown /f <SYSTEM32>\LogonUI.exe && icacls <SYSTEM32>\LogonUI.exe /grant %username%:F && copy <SYSTEM32>\LogonUI.exe %temp%\LogonUI.exe && del <SYSTEM32>\LogonUI.exe && takeown ...
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=h: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=c: /on=h: /maxsize=unbounded
