Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\correct.avi.nermer
- <Имя диска съемного носителя>:\applicantform_en.doc.nermer
- <Имя диска съемного носителя>:\508softwareandos.doc.nermer
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.nermer
- <Имя диска съемного носителя>:\contosoroot_1.cer.nermer
- <Имя диска съемного носителя>:\contosoroot.cer.nermer
- <Имя диска съемного носителя>:\contoso_1.cer.nermer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.nermer
- <Имя диска съемного носителя>:\default.bmp.nermer
- <Имя диска съемного носителя>:\dashborder_120.bmp.nermer
- <Имя диска съемного носителя>:\coffee.bmp.nermer
- <Имя диска съемного носителя>:\tileimage.bmp.nermer
- <Имя диска съемного носителя>:\dial.bmp.nermer
- <Имя диска съемного носителя>:\dashborder_96.bmp.nermer
- <Имя диска съемного носителя>:\dashborder_144.bmp.nermer
- <Имя диска съемного носителя>:\join.avi.nermer
- <Имя диска съемного носителя>:\weeklysheet1215.doc.nermer
- <Имя диска съемного носителя>:\lisp_success.doc.nermer
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl
- C:\far2\fareng.lng.nermer
- C:\totalcmd\wcmicons.inc.nermer
- C:\totalcmd\wcuninst.wul.nermer
- C:\far2\farger.lng.nermer
- C:\far2\farhun.hlf.nermer
- C:\far2\farhun.lng.nermer
- C:\far2\farpol.lng.nermer
- C:\far2\farrus.hlf.nermer
- C:\far2\farrus.lng.nermer
- C:\far2\farspa.lng.nermer
- C:\far2\file_id.diz.nermer
- C:\users\default\ntuser.dat.log.nermer
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\boot.sdi.nermer
- C:\users\default\ntuser.dat.log1.nermer
- %HOMEPATH%\ntuser.pol.nermer
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tm.blf.nermer
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000001.regtrans-ms.nermer
- C:\totalcmd\totalcmd64.exe.manifest.nermer
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000002.regtrans-ms.nermer
- C:\totalcmd\totalcmd.inc.nermer
- C:\far2\farcze.lng.nermer
- %HOMEPATH%\desktop\protect_info.txt
- D:\install.log.nermer
- C:\far2\changelog.nermer
- C:\far2\addons\descript.ion.nermer
- C:\far2\addons\readme.txt.nermer
- C:\far2\changelog_eng.nermer
- C:\totalcmd\default.bar.nermer
- C:\totalcmd\descript.ion.nermer
- C:\totalcmd\history.txt.nermer
- C:\far2\far.map.nermer
- C:\totalcmd\keyboard.txt.nermer
- C:\totalcmd\no.bar.nermer
- C:\totalcmd\sfxhead.sfx.nermer
- C:\totalcmd\size!.txt.nermer
- C:\totalcmd\tcunin64.wul.nermer
- C:\totalcmd\tcuninst.wul.nermer
- C:\totalcmd\totalcmd.chm.nermer
- C:\far2\fareng.hlf.nermer
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winre.wim.nermer
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\default\ntuser.dat.log.nermer
- %HOMEPATH%\ntuser.pol.nermer
- C:\users\default\ntuser.dat.log1.nermer
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tm.blf.nermer
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000001.regtrans-ms.nermer
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000002.regtrans-ms.nermer
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\boot.sdi.nermer
Удаляет следующие файлы
- <Имя диска съемного носителя>:\lisp_success.doc.nermer
Перемещает следующие файлы
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl в %WINDIR%\logs\windowsbackup\wbadmin.1.etl
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '94.##6.35.227':80
TCP
Запросы HTTP POST
- http://94.##6.35.227/repeater.php
Другое
Запускает на исполнение
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP
- '<SYSTEM32>\wbem\wmic.exe' SHADOWCOPY /nointeractive
