Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Crypter' = '<Полный путь к файлу>'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\split.avi.wrecking
- <Имя диска съемного носителя>:\delete.avi.wrecking
- <Имя диска съемного носителя>:\toolbar.bmp.wrecking
- <Имя диска съемного носителя>:\dashborder_192.bmp.wrecking
- <Имя диска съемного носителя>:\dialmap.bmp.wrecking
- <Имя диска съемного носителя>:\dial.bmp.wrecking
- <Имя диска съемного носителя>:\dashborder_120.bmp.wrecking
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.wrecking
- <Имя диска съемного носителя>:\pmd.cer.wrecking
- <Имя диска съемного носителя>:\contosoroot.cer.wrecking
- <Имя диска съемного носителя>:\testee.cer.wrecking
- <Имя диска съемного носителя>:\contoso.cer.wrecking
- <Имя диска съемного носителя>:\testcertificate.cer.wrecking
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc.wrecking
- <Имя диска съемного носителя>:\lisp_success.doc.wrecking
- <Имя диска съемного носителя>:\applicantform_en.doc.wrecking
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei24202\crypto.cipher._aes.pyd
- %TEMP%\_mei24202\wx._core_.pyd
- %TEMP%\_mei24202\wx._gdi_.pyd
- %TEMP%\_mei24202\wx._misc_.pyd
- %TEMP%\_mei24202\wx._windows_.pyd
- %TEMP%\_mei24202\wx._xrc.pyd
- %TEMP%\_mei24202\wxbase30u_net_vc90.dll
- %TEMP%\_mei24202\wxbase30u_vc90.dll
- %TEMP%\_mei24202\win32file.pyd
- %TEMP%\_mei24202\wx._controls_.pyd
- %TEMP%\_mei24202\wxbase30u_xml_vc90.dll
- %TEMP%\_mei24202\wxmsw30u_html_vc90.dll
- %TEMP%\_mei24202\wxmsw30u_xrc_vc90.dll
- %TEMP%\_mei24202\include\pyconfig.h
- %TEMP%\_mei24202\bitcoin.bmp
- %TEMP%\_mei24202\lock.bmp
- %TEMP%\_mei24202\lock.ico
- %TEMP%\_mei24202\runtime.cfg
- %TEMP%\_mei24202\wxmsw30u_adv_vc90.dll
- %TEMP%\_mei24202\wxmsw30u_core_vc90.dll
- %TEMP%\_mei24202\win32event.pyd
- %TEMP%\_mei24202\win32api.pyd
- %TEMP%\_mei24202\unicodedata.pyd
- %TEMP%\_mei24202\crypto.cipher._des3.pyd
- %TEMP%\_mei24202\crypto.hash._sha256.pyd
- %TEMP%\_mei24202\crypto.random.osrng.winrandom.pyd
- %TEMP%\_mei24202\crypto.util._counter.pyd
- %TEMP%\_mei24202\crypto.util.strxor.pyd
- %TEMP%\_mei24202\main.exe.manifest
- %TEMP%\_mei24202\microsoft.vc90.crt.manifest
- %TEMP%\_mei24202\_hashlib.pyd
- %TEMP%\_mei24202\crypto.cipher._des.pyd
- %TEMP%\_mei24202\_socket.pyd
- %TEMP%\_mei24202\bz2.pyd
- %TEMP%\_mei24202\msvcm90.dll
- %TEMP%\_mei24202\msvcp90.dll
- %TEMP%\_mei24202\msvcr90.dll
- %TEMP%\_mei24202\pyexpat.pyd
- %TEMP%\_mei24202\python27.dll
- %TEMP%\_mei24202\pywintypes27.dll
- %TEMP%\_mei24202\select.pyd
- %TEMP%\_mei24202\_ssl.pyd
- D:\install.log.wrecking
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.wrecking
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
