Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\archer.avi.nermer
- <Имя диска съемного носителя>:\delete.avi.nermer
- <Имя диска съемного носителя>:\000814251_video_01.avi.nermer
- <Имя диска съемного носителя>:\dashborder_144.bmp.nermer
- <Имя диска съемного носителя>:\dialmap.bmp.nermer
- <Имя диска съемного носителя>:\coffee.bmp.nermer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer.nermer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.nermer
- <Имя диска съемного носителя>:\pmd.cer.nermer
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.nermer
- <Имя диска съемного носителя>:\contosoroot_1.cer.nermer
- <Имя диска съемного носителя>:\contoso_1.cer.nermer
- <Имя диска съемного носителя>:\fi51.doc.nermer
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\vbc.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl
- C:\totalcmd\wcmicons.inc.nermer
- C:\totalcmd\totalcmd64.exe.manifest.nermer
- C:\totalcmd\totalcmd.inc.nermer
- C:\far2\farrus.hlf.nermer
- C:\far2\farpol.lng.nermer
- C:\far2\farhun.lng.nermer
- C:\totalcmd\totalcmd.chm.nermer
- C:\far2\farhun.hlf.nermer
- C:\totalcmd\tcuninst.wul.nermer
- C:\totalcmd\tcunin64.wul.nermer
- C:\totalcmd\size!.txt.nermer
- C:\totalcmd\sfxhead.sfx.nermer
- C:\totalcmd\wcuninst.wul.nermer
- C:\totalcmd\no.bar.nermer
- C:\totalcmd\history.txt.nermer
- C:\totalcmd\descript.ion.nermer
- C:\far2\farger.lng.nermer
- C:\far2\fareng.lng.nermer
- C:\far2\fareng.hlf.nermer
- C:\far2\farcze.lng.nermer
- C:\totalcmd\default.bar.nermer
- C:\far2\far.map.nermer
- C:\far2\changelog_eng.nermer
- C:\far2\changelog.nermer
- D:\install.log.nermer
- %HOMEPATH%\desktop\protect_info.txt
- C:\totalcmd\keyboard.txt.nermer
- C:\far2\addons\descript.ion.nermer
Удаляет следующие файлы
- <Имя диска съемного носителя>:\fi51.doc.nermer
Перемещает следующие файлы
- %WINDIR%\logs\windowsbackup\wbadmin.0.etl в %WINDIR%\logs\windowsbackup\wbadmin.1.etl
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '91.##.128.207':80
TCP
Запросы HTTP POST
- http://91.##.128.207/repeater.php
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\vbc.exe'
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP
- '<SYSTEM32>\wbem\wmic.exe' SHADOWCOPY /nointeractive
