Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Classes\.DF01933C\shell\Open\command] '' = 'explorer.exe RecoveryManual.html'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\iisstart.htm
- <Имя диска съемного носителя>:\browse.htm
- <Имя диска съемного носителя>:\trivial-merge.htm
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\64bit_notes.htm
- <Имя диска съемного носителя>:\tree_view.htm
- <Имя диска съемного носителя>:\alert.html
- <Имя диска съемного носителя>:\trivial-merge.html
- <Имя диска съемного носителя>:\api-hashmap.html
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\1189.jpeg
- <Имя диска съемного носителя>:\2.jpeg
- <Имя диска съемного носителя>:\168.jpeg
- <Имя диска съемного носителя>:\pushkin.jpeg
- <Имя диска съемного носителя>:\3.jpg
- <Имя диска съемного носителя>:\parnas_01.jpg
- <Имя диска съемного носителя>:\pushkin.jpg
- <Имя диска съемного носителя>:\13.jpg
- <Имя диска съемного носителя>:\210252809.jpg
- <Имя диска съемного носителя>:\region-north-karelia.jpg
- <Имя диска съемного носителя>:\about.htm
- <Имя диска съемного носителя>:\ituneshelpunavailable.htm
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\1189.jpg
- <Имя диска съемного носителя>:\parnas_01.jpeg
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\nwfieldnotes1966.docx
- <Имя диска съемного носителя>:\recoverymanual.html
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\firefly1.mov
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- <Полный путь к файлу>.log
- %TEMP%\~1077140.tmp
- <Текущая директория>\recoverymanual.html
- D:\recoverymanual.html
- C:\far2\addons\colors\custom_highlighting\recoverymanual.html
- C:\far2\addons\colors\default_highlighting\recoverymanual.html
- C:\far2\addons\colors\recoverymanual.html
- C:\far2\addons\recoverymanual.html
- C:\far2\addons\macros\recoverymanual.html
- C:\far2\addons\setup\recoverymanual.html
- C:\far2\addons\shell\recoverymanual.html
- C:\far2\addons\xlat\recoverymanual.html
- C:\far2\addons\xlat\russian\recoverymanual.html
- C:\far2\recoverymanual.html
Удаляет следующие файлы
- %TEMP%\~1077140.tmp
Изменяет следующие файлы
- D:\install.log.readmanual.df01933c
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc.readmanual.df01933c
- <Имя диска съемного носителя>:\applicantform_en.doc.readmanual.df01933c
- <Имя диска съемного носителя>:\pmd.cer.readmanual.df01933c
- <Имя диска съемного носителя>:\testcertificate.cer.readmanual.df01933c
- <Имя диска съемного носителя>:\contoso.cer.readmanual.df01933c
- <Имя диска съемного носителя>:\testee.cer.readmanual.df01933c
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer.readmanual.df01933c
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.readmanual.df01933c
- <Имя диска съемного носителя>:\contosoroot.cer.readmanual.df01933c
- <Имя диска съемного носителя>:\dashborder_192.bmp.readmanual.df01933c
- <Имя диска съемного носителя>:\dashborder_144.bmp.readmanual.df01933c
- <Имя диска съемного носителя>:\coffee.bmp.readmanual.df01933c
- <Имя диска съемного носителя>:\tileimage.bmp.readmanual.df01933c
- <Имя диска съемного носителя>:\dashborder_96.bmp.readmanual.df01933c
- C:\far2\addons\colors\custom_highlighting\farcolors242.reg.readmanual.df01933c
- C:\far2\addons\colors\custom_highlighting\dn_like.reg.readmanual.df01933c
- C:\far2\addons\colors\custom_highlighting\descript.ion.readmanual.df01933c
- C:\far2\addons\colors\custom_highlighting\colors_from_sadovoj.reg.readmanual.df01933c
- C:\far2\addons\colors\custom_highlighting\colors_from_gernichenko.reg.readmanual.df01933c
- <Имя диска съемного носителя>:\archer.avi.readmanual.df01933c
- C:\far2\addons\colors\custom_highlighting\colors_from_admin_essp_ru.reg.readmanual.df01933c
- C:\far2\addons\colors\custom_highlighting\black_from_myodov.reg.readmanual.df01933c
- C:\far2\addons\colors\custom_highlighting\black_from_july.reg.readmanual.df01933c
- <Имя диска съемного носителя>:\000814251_video_01.avi.readmanual.df01933c
- C:\far2\addons\colors\custom_highlighting\black_from_fonarev.reg.readmanual.df01933c
- <Имя диска съемного носителя>:\split.avi.readmanual.df01933c
- <Имя диска съемного носителя>:\delete.avi.readmanual.df01933c
- <Имя диска съемного носителя>:\ovp25012015.doc.readmanual.df01933c
- C:\far2\addons\colors\custom_highlighting\greenmile.reg.readmanual.df01933c
Изменяет множество файлов.
Подменяет следующие файлы
- D:\install.log
- <Имя диска съемного носителя>:\SDKSampleUnprivDeveloper.cer
- <Имя диска съемного носителя>:\SDKFailsafeEmulator.cer
- <Имя диска съемного носителя>:\testEE.cer
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\TestCertificate.cer
- <Имя диска съемного носителя>:\pmd.cer
- C:\Far2\Addons\Colors\Default_Highlighting\Descript.ion
- C:\Far2\Addons\Colors\Descript.ion
- C:\Far2\Addons\Descript.ion
- C:\Far2\Addons\Macros\Descript.ion
- C:\Far2\Addons\README.TXT
- C:\Far2\Addons\SetUp\Descript.ion
- C:\Far2\Addons\Shell\Descript.ion
- C:\Far2\Addons\XLat\Descript.ion
- C:\Far2\Addons\XLat\Russian\Descript.ion
- <Имя диска съемного носителя>:\contosoroot.cer
- C:\Far2\changelog
- <Имя диска съемного носителя>:\dashBorder_192.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\split.avi
- C:\Far2\Addons\Colors\Custom_Highlighting\black_from_Fonarev.reg
- <Имя диска съемного носителя>:\000814251_video_01.avi
- C:\Far2\Addons\Colors\Custom_Highlighting\black_from_july.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\black_from_Myodov.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Colors_from_admin_essp_ru.reg
- <Имя диска съемного носителя>:\archer.avi
- C:\Far2\Addons\Colors\Custom_Highlighting\Colors_from_Gernichenko.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Colors_from_Sadovoj.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\Descript.ion
- C:\Far2\Addons\Colors\Custom_Highlighting\dn_like.reg
- C:\Far2\Addons\Colors\Custom_Highlighting\FARColors242.reg
- <Имя диска съемного носителя>:\dashBorder_96.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dashBorder_144.bmp
- C:\Far2\changelog_eng
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -windowstyle hidden -c $mypid='2460';[System.IO.File]::ReadAllText('%TEMP%\~1077140.tmp')|iex
- '<SYSTEM32>\whoami.exe' /groups /user
