Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '1' = '"<Полный путь к файлу>"'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\testcertificate.cer
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\vds.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\129292729
- C:\far2\fexcept\readme-warning.txt
- C:\far2\encyclopedia\readme-warning.txt
- C:\far2\encyclopedia\tap\readme-warning.txt
- C:\far2\documentation\rus\readme-warning.txt
- C:\far2\documentation\eng\readme-warning.txt
- C:\far2\addons\readme-warning.txt
- C:\far2\addons\xlat\readme-warning.txt
- C:\far2\addons\xlat\russian\readme-warning.txt
- C:\far2\plugins\align\readme-warning.txt
- C:\far2\addons\shell\readme-warning.txt
- C:\far2\addons\macros\readme-warning.txt
- C:\far2\addons\colors\readme-warning.txt
- C:\far2\addons\colors\default_highlighting\readme-warning.txt
- C:\far2\addons\colors\custom_highlighting\readme-warning.txt
- D:\readme-warning.txt
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl
- %TEMP%\nsw73c9.tmp\system.dll
- %TEMP%\nsm5081.tmp\system.dll
- C:\far2\addons\setup\readme-warning.txt
- C:\far2\plugins\arclite\readme-warning.txt
Изменяет следующие файлы
- D:\install.log
- C:\far2\changelog
- C:\far2\addons\xlat\russian\descript.ion
- C:\far2\addons\xlat\descript.ion
- C:\far2\addons\shell\farhere.inf
- C:\far2\addons\shell\descript.ion
- C:\far2\addons\setup\descript.ion
- C:\far2\addons\readme.txt
- C:\far2\addons\macros\descript.ion
- C:\far2\addons\descript.ion
- C:\far2\addons\colors\import_colors.bat
- C:\far2\addons\colors\export_colors.bat
- C:\far2\addons\colors\descript.ion
- C:\far2\addons\colors\default_highlighting\import_colors.bat
- C:\far2\addons\colors\default_highlighting\descript.ion
- C:\far2\addons\colors\custom_highlighting\import_colors.bat
- C:\far2\addons\colors\custom_highlighting\descript.ion
- <Имя диска съемного носителя>:\lisp_success.doc
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\delete.avi
- C:\far2\changelog_eng
- C:\far2\clearpluginscache.cmd
Изменяет множество файлов.
Создает файлы с требованием оплатить расшифровку файлов (Trojan.Encoder).
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe'
- '<SYSTEM32>\wbadmin.exe' delete catalog -quiet
- '<SYSTEM32>\wbengine.exe'
- '<SYSTEM32>\vds.exe'
