Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '{272EBD3A-4F22-59D4-5635-61E7E0F572A6}' = '%APPDATA%\guide.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\lisp_success.doc
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dial.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\dialmap.bmp
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\how to recover encrypted files.txt
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\correct.avi
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer
- %HOMEPATH%\desktop\sdszfo.docx
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\guide.exe
- C:\far2\plugins\editcase\how to recover encrypted files.txt
- C:\far2\plugins\emenu\how to recover encrypted files.txt
- C:\far2\plugins\farcmds\how to recover encrypted files.txt
- C:\far2\plugins\filecase\how to recover encrypted files.txt
- C:\far2\plugins\ftp\how to recover encrypted files.txt
- C:\far2\plugins\ftp\lib\how to recover encrypted files.txt
- C:\far2\plugins\hlfviewer\how to recover encrypted files.txt
- %HOMEPATH%\searches\how to recover encrypted files.txt
- C:\far2\plugins\macroview\how to recover encrypted files.txt
- C:\far2\plugins\proclist\how to recover encrypted files.txt
- C:\far2\plugins\tmppanel\how to recover encrypted files.txt
- C:\far2\pluginsdk\headers.c\how to recover encrypted files.txt
- C:\far2\pluginsdk\headers.pas\how to recover encrypted files.txt
- C:\totalcmd\how to recover encrypted files.txt
- C:\users\public\music\sample music\how to recover encrypted files.txt
- C:\users\public\pictures\sample pictures\how to recover encrypted files.txt
- C:\far2\plugins\compare\how to recover encrypted files.txt
- C:\far2\plugins\drawline\how to recover encrypted files.txt
- C:\far2\plugins\brackets\how to recover encrypted files.txt
- C:\far2\plugins\autowrap\how to recover encrypted files.txt
- C:\far2\plugins\arclite\how to recover encrypted files.txt
- %HOMEPATH%\contacts\how to recover encrypted files.txt
- %HOMEPATH%\desktop\how to recover encrypted files.txt
- %HOMEPATH%\favorites\links\how to recover encrypted files.txt
- %HOMEPATH%\favorites\links for united states\how to recover encrypted files.txt
- %HOMEPATH%\favorites\microsoft websites\how to recover encrypted files.txt
- %HOMEPATH%\favorites\msn websites\how to recover encrypted files.txt
- %HOMEPATH%\favorites\windows live\how to recover encrypted files.txt
- C:\users\public\videos\sample videos\how to recover encrypted files.txt
- C:\far2\plugins\network\how to recover encrypted files.txt
- %HOMEPATH%\links\how to recover encrypted files.txt
- C:\far2\addons\how to recover encrypted files.txt
- C:\far2\addons\shell\how to recover encrypted files.txt
- C:\far2\documentation\eng\how to recover encrypted files.txt
- C:\far2\documentation\rus\how to recover encrypted files.txt
- C:\far2\encyclopedia\how to recover encrypted files.txt
- C:\far2\encyclopedia\tap\how to recover encrypted files.txt
- C:\far2\plugins\align\how to recover encrypted files.txt
- %TEMP%\{421a75c8-421a-421a-421a-421a75c85458}.bat
- C:\far2\how to recover encrypted files.txt
- D:\how to recover encrypted files.txt
Удаляет следующие файлы
- %APPDATA%\guide.exe
Изменяет следующие файлы
- %HOMEPATH%\contacts\user.contact
- %HOMEPATH%\favorites\msn websites\msn entertainment.url
- %HOMEPATH%\favorites\msn websites\msn autos.url
- %HOMEPATH%\favorites\microsoft websites\microsoft store.url
- %HOMEPATH%\favorites\microsoft websites\microsoft at work.url
- %HOMEPATH%\favorites\microsoft websites\microsoft at home.url
- %HOMEPATH%\favorites\microsoft websites\ie site on microsoft.com.url
- %HOMEPATH%\favorites\microsoft websites\ie add-on site.url
- %HOMEPATH%\favorites\links for united states\usa.gov.url
- %HOMEPATH%\favorites\links for united states\gobiernousa.gov.url
- %HOMEPATH%\favorites\links\web slice gallery.url
- %HOMEPATH%\favorites\links\suggested sites.url
- %HOMEPATH%\desktop\total commander 64 bit.lnk
- %HOMEPATH%\desktop\telegram.lnk
- %HOMEPATH%\desktop\qip 2012.lnk
- %HOMEPATH%\desktop\mail.ru agent.lnk
- %HOMEPATH%\desktop\icq.lnk
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\correct.avi
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\favorites\msn websites\msn money.url
- %HOMEPATH%\favorites\msn websites\msn sports.url
Изменяет множество файлов.
Подменяет следующие файлы
- %APPDATA%\guide.exe
Самоудаляется.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'ip###ger.com':80
- 'ip###ger.org':443
- 'microsoft.com':80
- 'oc##.#ectigo.com':80
TCP
- 'ip###ger.com':443
UDP
- DNS ASK ip###ger.com
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK oc##.#ectigo.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\{421A75C8-421A-421A-421A-421A75C85458}.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=C: /All' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=D: /All' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=E: /All' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=F: /All' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c wmic SHADOWCOPY DELETE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled No' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\{421A75C8-421A-421A-421A-421A75C85458}.bat
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=C: /All
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=D: /All
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=E: /All
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=F: /All
- '%WINDIR%\syswow64\cmd.exe' /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0
- '%WINDIR%\syswow64\cmd.exe' /c wmic SHADOWCOPY DELETE
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled No
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
