Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop "audioendpointbuilder" /y
- '%WINDIR%\syswow64\net.exe' stop "samss" /y
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\axjzenndlrep.exe
- C:\far2\addons\shell\ryukreadme.html
- C:\far2\addons\xlat\ryukreadme.html
- C:\far2\addons\xlat\russian\ryukreadme.html
- C:\far2\documentation\ryukreadme.html
- C:\far2\documentation\eng\ryukreadme.html
- C:\far2\documentation\rus\ryukreadme.html
- C:\far2\encyclopedia\ryukreadme.html
- C:\far2\encyclopedia\tap\ryukreadme.html
- C:\far2\fexcept\ryukreadme.html
- C:\far2\plugins\ryukreadme.html
- C:\far2\plugins\align\ryukreadme.html
- C:\far2\plugins\arclite\ryukreadme.html
- C:\far2\plugins\autowrap\ryukreadme.html
- C:\far2\plugins\brackets\ryukreadme.html
- C:\far2\plugins\compare\ryukreadme.html
- C:\far2\addons\setup\ryukreadme.html
- C:\far2\plugins\drawline\ryukreadme.html
- C:\far2\addons\macros\ryukreadme.html
- C:\far2\addons\colors\custom_highlighting\ryukreadme.html
- <Текущая директория>\fzyebtjoglan.exe
- <Текущая директория>\baybvtlamlan.exe
- C:\users\public\ryukreadme.html
- %TEMP%\ryukreadme.html
- D:\ryukreadme.html
- D:\$recycle.bin\ryukreadme.html
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\ryukreadme.html
- C:\ryukreadme.html
- C:\$recycle.bin\ryukreadme.html
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\ryukreadme.html
- <Текущая директория>\ryukreadme.html
- C:\documents and settings\ryukreadme.html
- C:\far2\ryukreadme.html
- C:\far2\addons\ryukreadme.html
- C:\far2\addons\colors\ryukreadme.html
- C:\far2\addons\colors\default_highlighting\ryukreadme.html
- C:\far2\plugins\editcase\ryukreadme.html
Присваивает атрибут 'скрытый' для следующих файлов
- <Текущая директория>\axjzenndlrep.exe
- <Текущая директория>\fzyebtjoglan.exe
- <Текущая директория>\baybvtlamlan.exe
Изменяет следующие файлы
- C:\far2\addons\setup\default165.reg
- C:\far2\addons\setup\executor_cmd.reg
- C:\far2\addons\macros\panel_ctrlins__.reg
- C:\far2\addons\xlat\russian\descript.ion
- C:\far2\addons\xlat\russian\apps.reg
- C:\far2\addons\xlat\russian\ctrlshiftx.reg
- C:\far2\addons\setup\descript.ion
- C:\far2\addons\macros\shiftf1.reg
- C:\far2\addons\colors\descript.ion
- C:\far2\addons\shell\descript.ion
- C:\far2\addons\readme.txt
- C:\far2\addons\colors\default_highlighting\black_from_fonarev.reg
- C:\far2\addons\colors\import_colors.bat
- C:\far2\addons\shell\farhere.inf
- C:\far2\addons\xlat\descript.ion
- C:\far2\addons\descript.ion
- C:\far2\addons\colors\export_colors.bat
- C:\far2\addons\colors\custom_highlighting\import_colors.bat
- C:\far2\addons\colors\custom_highlighting\farcolors242.reg
- C:\far2\addons\colors\custom_highlighting\nc5pal2.reg
- C:\far2\addons\colors\custom_highlighting\vaxcolors.reg
- C:\far2\addons\colors\custom_highlighting\rodion_doroshkevich.reg
- C:\far2\addons\colors\custom_highlighting\black_from_myodov.reg
- C:\far2\addons\colors\custom_highlighting\black_from_july.reg
- C:\far2\addons\colors\custom_highlighting\colors_from_gernichenko.reg
- C:\far2\addons\colors\custom_highlighting\black_from_fonarev.reg
- C:\far2\addons\colors\custom_highlighting\colors_from_admin_essp_ru.reg
- C:\far2\addons\xlat\russian\altr.reg
- C:\far2\addons\xlat\russian\ctrlr.reg
- C:\far2\addons\colors\default_highlighting\import_colors.bat
Изменяет множество файлов.
Сетевая активность
UDP
- '<LOCALNET>.35.1':7
- '22#.0.0.22':7
- '22#.0.0.252':7
- '23#.#55.255.250':7
Другое
Создает и запускает на исполнение
- '<Текущая директория>\axjzenndlrep.exe' 9 REP
- '<Текущая директория>\fzyebtjoglan.exe' 8 LAN
- '<Текущая директория>\baybvtlamlan.exe' 8 LAN
- '<Текущая директория>\axjzenndlrep.exe' 9 REP' (со скрытым окном)
- '<Текущая директория>\fzyebtjoglan.exe' 8 LAN' (со скрытым окном)
- '<Текущая директория>\baybvtlamlan.exe' 8 LAN' (со скрытым окном)
- '%WINDIR%\syswow64\icacls.exe' "A:\*" /grant Everyone:F /T /C /Q' (со скрытым окном)
- '%WINDIR%\syswow64\icacls.exe' "C:\*" /grant Everyone:F /T /C /Q' (со скрытым окном)
- '%WINDIR%\syswow64\icacls.exe' "D:\*" /grant Everyone:F /T /C /Q' (со скрытым окном)
- '%WINDIR%\syswow64\icacls.exe' "E:\*" /grant Everyone:F /T /C /Q' (со скрытым окном)
- '%WINDIR%\syswow64\icacls.exe' "<Имя диска съемного носителя>:\*" /grant Everyone:F /T /C /Q' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' stop "audioendpointbuilder" /y' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' stop "samss" /y' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\icacls.exe' "A:\*" /grant Everyone:F /T /C /Q
- '%WINDIR%\syswow64\icacls.exe' "C:\*" /grant Everyone:F /T /C /Q
- '%WINDIR%\syswow64\icacls.exe' "D:\*" /grant Everyone:F /T /C /Q
- '%WINDIR%\syswow64\icacls.exe' "E:\*" /grant Everyone:F /T /C /Q
- '%WINDIR%\syswow64\icacls.exe' "<Имя диска съемного носителя>:\*" /grant Everyone:F /T /C /Q
- '%WINDIR%\syswow64\net1.exe' stop "audioendpointbuilder" /y
- '%WINDIR%\syswow64\net1.exe' stop "samss" /y
