Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'mstray' = '<SYSTEM32>\mstray.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\@recoveryyourfiles@.exe
- <Имя диска съемного носителя>:\@readme@.txt
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\c725.tmp\c736.tmp\c737.bat
- %HOMEPATH%\links\@recoveryyourfiles@.exe
- %HOMEPATH%\music\@readme@.txt
- %HOMEPATH%\music\@recoveryyourfiles@.exe
- %HOMEPATH%\downloads\@readme@.txt
- %HOMEPATH%\downloads\@recoveryyourfiles@.exe
- %HOMEPATH%\pictures\@readme@.txt
- %HOMEPATH%\pictures\@recoveryyourfiles@.exe
- %HOMEPATH%\videos\@readme@.txt
- %HOMEPATH%\videos\@recoveryyourfiles@.exe
- %HOMEPATH%\documents\@readme@.txt
- %HOMEPATH%\documents\@recoveryyourfiles@.exe
- D:\@readme@.txt
- D:\@recoveryyourfiles@.exe
- C:\users\public\desktop\@recoveryyourfiles@.exe
- C:\miniworldransom\@recoveryyourfiles@.exe
- <SYSTEM32>\mstray.exe
- C:\users\public\desktop\@readme@.txt
- %TEMP%\c725.tmp\background.jpg
- %TEMP%\c725.tmp\@readme@.txt
- %TEMP%\c725.tmp\3r9j.tmp
- %TEMP%\c725.tmp\2y8u.tmp
- %HOMEPATH%\links\@readme@.txt
- %TEMP%\fd90.tmp\fda0.tmp\fda1.bat
Удаляет следующие файлы
- %TEMP%\c725.tmp\2y8u.tmp
- %TEMP%\c725.tmp\3r9j.tmp
- %TEMP%\c725.tmp\@readme@.txt
- %TEMP%\c725.tmp\background.jpg
- %TEMP%\c725.tmp\c736.tmp\c737.bat
Изменяет следующие файлы
- %APPDATA%\microsoft\windows\themes\transcodedwallpaper.jpg
Подменяет следующие файлы
- D:\$RECYCLE.BIN\S-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'Media Center Tray Applet' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\mstray.exe'
- 'C:\miniworldransom\@recoveryyourfiles@.exe'
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\C725.tmp\C736.tmp\C737.bat <Полный путь к файлу>"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\FD90.tmp\FDA0.tmp\FDA1.bat <SYSTEM32>\mstray.exe"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\C725.tmp\C736.tmp\C737.bat <Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c tasklist|find /i "@RecoveryYourFiles@.exe"
- '<SYSTEM32>\timeout.exe' /t 3
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\FD90.tmp\FDA0.tmp\FDA1.bat <SYSTEM32>\mstray.exe"
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v "mstray" /t REG_SZ /d "<SYSTEM32>\mstray.exe" /f
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Desktop\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Pictures\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Videos\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Documents\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Favorites\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Links\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Downloads\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Music\*.*" /e /d everyone
- '<SYSTEM32>\cmd.exe' /S /D /c" echo y"
- '<SYSTEM32>\reg.exe' delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msfdhs /f
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\find.exe' /i "@RecoveryYourFiles@.exe"
