Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\adadsi.html
- <Имя диска съемного носителя>:\iisstart.html
- <Имя диска съемного носителя>:\api-hashmap.html
- <Имя диска съемного носителя>:\tree_view.html
- <Имя диска съемного носителя>:\alert.html
- <Имя диска съемного носителя>:\ituneshelpunavailable.html
- <Имя диска съемного носителя>:\64bit_notes.htm
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\advice_process.htm
- <Имя диска съемного носителя>:\trivial-merge.htm
- <Имя диска съемного носителя>:\sdszfo.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\508softwareandos.doc
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\howto-index.html
- <Имя диска съемного носителя>:\about.html
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\vds.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\zsadsadsad\qasdadsdsd.lnk
- %APPDATA%\microsoft\windows\start menu\programs\zsadsadsad\dsffffffdd.lnk
- %APPDATA%\695624277
- %TEMP%\nsrdbce.tmp\system.dll
- %TEMP%\nscfc59.tmp\system.dll
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl
- D:\readme-warning.txt
Изменяет следующие файлы
- D:\install.log
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\508softwareandos.doc
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- C:\far2\addons\colors\custom_highlighting\descript.ion
- <Имя диска съемного носителя>:\about.html
Создает файлы с требованием оплатить расшифровку файлов (Trojan.Encoder).
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe'
- '<SYSTEM32>\wbadmin.exe' delete catalog -quiet
- '<SYSTEM32>\wbengine.exe'
- '<SYSTEM32>\vds.exe'
