Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Bing Service' = '%APPDATA%\Bing Service.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Интерпретатора командной строки (CMD)
- Диспетчера задач (Taskmgr)
изменяет следующие системные настройки:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
Внедряет код в
следующие пользовательские процессы:
- notepad.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\1189.jpeg
- %HOMEPATH%\desktop\13.jpeg
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\parnas_01.jpeg
- %HOMEPATH%\desktop\pushkin.jpeg
- %HOMEPATH%\desktop\region-north-karelia.jpeg
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
- %HOMEPATH%\desktop\correct.avi
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\tileimage.bmp
- %HOMEPATH%\desktop\toolbar.bmp
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\mata2.bat
- %WINDIR%\temp\msg\m_turkish.wnry
- %WINDIR%\temp\msg\m_vietnamese.wnry
- %WINDIR%\temp\r.wnry
- %WINDIR%\temp\s.wnry
- %WINDIR%\temp\t.wnry
- %WINDIR%\temp\taskdl.exe
- %WINDIR%\temp\taskse.exe
- %WINDIR%\temp\u.wnry
- %WINDIR%\temp\00000000.pky
- %WINDIR%\temp\00000000.eky
- %WINDIR%\temp\00000000.res
- %WINDIR%\temp\@wanadecryptor@.exe
- %WINDIR%\temp\msg\m_english.wnry
- %WINDIR%\temp\209061620262342.bat
- %HOMEPATH%\desktop\1189.jpeg.wncryt
- %HOMEPATH%\desktop\13.jpeg.wncryt
- %HOMEPATH%\desktop\adhd_and_obesity.docx.wncryt
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx.wncryt
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx.wncryt
- %HOMEPATH%\desktop\nwfieldnotes1966.docx.wncryt
- %HOMEPATH%\desktop\parnas_01.jpeg.wncryt
- %HOMEPATH%\desktop\pushkin.jpeg.wncryt
- %HOMEPATH%\desktop\region-north-karelia.jpeg.wncryt
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.wncryt
- %HOMEPATH%\desktop\weeklysheet1215.doc.wncryt
- %HOMEPATH%\desktop\@please_read_me@.txt
- %WINDIR%\temp\msg\m_spanish.wnry
- %WINDIR%\temp\msg\m_swedish.wnry
- %WINDIR%\temp\msg\m_slovak.wnry
- %WINDIR%\temp\msg\m_russian.wnry
- %WINDIR%\temp\msg\m_romanian.wnry
- %APPDATA%\invs.vbs
- %APPDATA%\mata.bat
- %WINDIR%\temp\notepad.exe
- %APPDATA%\per.bat
- %WINDIR%\temp\b.wnry
- %WINDIR%\temp\c.wnry
- %WINDIR%\temp\msg\m_bulgarian.wnry
- %WINDIR%\temp\msg\m_chinese (simplified).wnry
- %WINDIR%\temp\msg\m_chinese (traditional).wnry
- %WINDIR%\temp\msg\m_croatian.wnry
- %WINDIR%\temp\msg\m_czech.wnry
- %WINDIR%\temp\msg\m_danish.wnry
- %HOMEPATH%\desktop\@wanadecryptor@.exe
- %WINDIR%\temp\@please_read_me@.txt
- %WINDIR%\temp\msg\m_dutch.wnry
- %WINDIR%\temp\msg\m_finnish.wnry
- %WINDIR%\temp\msg\m_french.wnry
- %WINDIR%\temp\msg\m_german.wnry
- %WINDIR%\temp\msg\m_greek.wnry
- %WINDIR%\temp\msg\m_indonesian.wnry
- %WINDIR%\temp\msg\m_italian.wnry
- %WINDIR%\temp\msg\m_japanese.wnry
- %WINDIR%\temp\msg\m_korean.wnry
- %WINDIR%\temp\msg\m_latvian.wnry
- %WINDIR%\temp\msg\m_norwegian.wnry
- %WINDIR%\temp\msg\m_polish.wnry
- %WINDIR%\temp\msg\m_portuguese.wnry
- %APPDATA%\rundll32-.txt
- %WINDIR%\temp\msg\m_filipino.wnry
- %HOMEPATH%\desktop\correct.avi.wncryt
Удаляет следующие файлы
- %APPDATA%\mata2.bat
- %APPDATA%\mata.bat
- %APPDATA%\rundll32-.txt
- %APPDATA%\invs.vbs
- <Имя диска съемного носителя>:\ovp25012015.doc.wncryt
Перемещает следующие файлы
- %HOMEPATH%\desktop\1189.jpeg.wncryt в %HOMEPATH%\desktop\1189.jpeg.wncry
- %HOMEPATH%\desktop\13.jpeg.wncryt в %HOMEPATH%\desktop\13.jpeg.wncry
- %HOMEPATH%\desktop\adhd_and_obesity.docx.wncryt в %HOMEPATH%\desktop\adhd_and_obesity.docx.wncry
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx.wncryt в %HOMEPATH%\desktop\holycrosschurchinstructions.docx.wncry
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx.wncryt в %HOMEPATH%\desktop\issi2013_template_for_posters.docx.wncry
- %HOMEPATH%\desktop\nwfieldnotes1966.docx.wncryt в %HOMEPATH%\desktop\nwfieldnotes1966.docx.wncry
- %HOMEPATH%\desktop\parnas_01.jpeg.wncryt в %HOMEPATH%\desktop\parnas_01.jpeg.wncry
- %HOMEPATH%\desktop\pushkin.jpeg.wncryt в %HOMEPATH%\desktop\pushkin.jpeg.wncry
- %HOMEPATH%\desktop\region-north-karelia.jpeg.wncryt в %HOMEPATH%\desktop\region-north-karelia.jpeg.wncry
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.wncryt в %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.wncry
- %HOMEPATH%\desktop\weeklysheet1215.doc.wncryt в %HOMEPATH%\desktop\weeklysheet1215.doc.wncry
- %HOMEPATH%\desktop\correct.avi.wncryt в %HOMEPATH%\desktop\correct.avi.wncry
Изменяет следующие файлы
- %HOMEPATH%\desktop\1189.jpeg
- %HOMEPATH%\desktop\13.jpeg
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\parnas_01.jpeg
- %HOMEPATH%\desktop\pushkin.jpeg
- %HOMEPATH%\desktop\region-north-karelia.jpeg
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
- %HOMEPATH%\desktop\correct.avi
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%WINDIR%\temp\notepad.exe'
- '%WINDIR%\temp\taskdl.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\mata.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System /v DisableCMD /t REG_DWORD /d 1 /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoFolderOptions /t REG_DWORD /d 1 /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoFolderOptions /t REG_DWORD /d 1 /f' (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' +h .' (со скрытым окном)
- '%WINDIR%\syswow64\icacls.exe' . /grant Everyone:F /T /C /Q' (со скрытым окном)
- '%WINDIR%\temp\taskdl.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c 209061620262342.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\mata.bat" "
- '%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System /v DisableCMD /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoFolderOptions /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoFolderOptions /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\attrib.exe' +h .
- '%WINDIR%\syswow64\icacls.exe' . /grant Everyone:F /T /C /Q
- '%WINDIR%\syswow64\cmd.exe' /c 209061620262342.bat
