Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'services.exe' = '"%APPDATA%\Microsoft\Windows\services.exe" -start'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\!!! all your files are encrypted !!!.txt
- <Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
- <Имя диска съемного носителя>:\hypothyroidism_slides.pptx
- <Имя диска съемного носителя>:\middaugh_keynote.pptx
- <Имя диска съемного носителя>:\gruenspecht_02172016.pptx
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
- <Имя диска съемного носителя>:\accountsreceivable.ppt
- <Имя диска съемного носителя>:\writingcompletesarnarrative_1103.ppt
- <Имя диска съемного носителя>:\mappingconcepthubberlin.ppt
- <Имя диска съемного носителя>:\cbz.png
- <Имя диска съемного носителя>:\systisoft.pem
- <Имя диска съемного носителя>:\foaf.rdf
- <Имя диска съемного носителя>:\cert.pem
- <Имя диска съемного носителя>:\delongcacert.pem
- <Имя диска съемного носителя>:\investmentbankca_ca8.pem
- <Имя диска съемного носителя>:\lom602.pdf
- <Имя диска съемного носителя>:\bc01.pdf
- <Имя диска съемного носителя>:\2015-02-patients-topic-work-related-asthma-jobs.pdf
- <Имя диска съемного носителя>:\7790_preview.pdf
- <Имя диска съемного носителя>:\dualectls.pdf
- <Имя диска съемного носителя>:\video_1.mp4
- <Имя диска съемного носителя>:\51.mp4
- <Имя диска съемного носителя>:\clip_480_5sec_6mbps_h264.mp4
- <Имя диска съемного носителя>:\ck.pem
- <Имя диска съемного носителя>:\schema.rdf
- <Имя диска съемного носителя>:\skos.rdf
- <Имя диска съемного носителя>:\contenttypes.rdf
- <Имя диска съемного носителя>:\productos.zip
- <Имя диска съемного носителя>:\subjectclassification.zip
- <Имя диска съемного носителя>:\price030215.zip
- <Имя диска съемного носителя>:\disclosuredetails.xlsx
- <Имя диска съемного носителя>:\national_autism_preparation_programs.xlsx
- <Имя диска съемного носителя>:\cee_mmsprogram_summary_public.xlsx
- <Имя диска съемного носителя>:\al.xlsx
- <Имя диска съемного носителя>:\highly_cited_2001.xlsx
- <Имя диска съемного носителя>:\suspendedcompanies.xlsx
- <Имя диска съемного носителя>:\fiche_inscription_2015.xls
- <Имя диска съемного носителя>:\removedtitles_records.xls
- <Имя диска съемного носителя>:\calculatorworksheet.xls
- <Имя диска съемного носителя>:\excel_example.xls
- <Имя диска съемного носителя>:\1sm_price.xls
- <Имя диска съемного носителя>:\productos.xls
- <Имя диска съемного носителя>:\passport_pal.wmv
- <Имя диска съемного носителя>:\flower_trans_matte.wmv
- <Имя диска съемного носителя>:\phytoremediation.rtf
- <Имя диска съемного носителя>:\krsweden.rtf
- <Имя диска съемного носителя>:\static_electricity_easy_and_quick_activities.rtf
- <Имя диска съемного носителя>:\20140114.rdf
- <Имя диска съемного носителя>:\sioc.rdf
- <Имя диска съемного носителя>:\swc_2009-03-02.rdf
- <Имя диска съемного носителя>:\etc6_m_1.mov
- <Имя диска съемного носителя>:\calculatorworksheet.zip
- <Имя диска съемного носителя>:\dag2_panel1_320_ref.mov
- <Имя диска съемного носителя>:\pushkin.jpg
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\168.jpg
- <Имя диска съемного носителя>:\13.jpg
- <Имя диска съемного носителя>:\2.jpg
- <Имя диска съемного носителя>:\region-north-karelia.jpg
- <Имя диска съемного носителя>:\1189.jpg
- <Имя диска съемного носителя>:\parnas_01.jpg
- <Имя диска съемного носителя>:\168.jpeg
- <Имя диска съемного носителя>:\region-north-karelia.jpeg
- <Имя диска съемного носителя>:\3.jpeg
- <Имя диска съемного носителя>:\1189.jpeg
- <Имя диска съемного носителя>:\parnas_01.jpeg
- <Имя диска съемного носителя>:\browse.html
- <Имя диска съемного носителя>:\iisstart.htm
- <Имя диска съемного носителя>:\trivial-merge.htm
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\dotnetfx45_full_setup.exe
- <Имя диска съемного носителя>:\tcm851ax32.exe
- <Имя диска съемного носителя>:\calc.exe
- <Имя диска съемного носителя>:\chromesetup.exe
- <Имя диска съемного носителя>:\winmine.exe
- <Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe
- <Имя диска съемного носителя>:\wrar520.exe
- <Имя диска съемного носителя>:\utorrent.exe
- <Имя диска съемного носителя>:\spanner.mov
- <Имя диска съемного носителя>:\excel_example.zip
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\0dc5e6a4.zeppelin
- C:\far2\addons\colors\custom_highlighting\!!! all your files are encrypted !!!.txt
- C:\far2\addons\colors\default_highlighting\!!! all your files are encrypted !!!.txt
- C:\far2\addons\macros\!!! all your files are encrypted !!!.txt
- C:\far2\addons\setup\!!! all your files are encrypted !!!.txt
- C:\far2\addons\shell\!!! all your files are encrypted !!!.txt
- C:\far2\addons\xlat\!!! all your files are encrypted !!!.txt
- C:\far2\documentation\!!! all your files are encrypted !!!.txt
- C:\far2\plugins\align\!!! all your files are encrypted !!!.txt
- C:\far2\documentation\eng\!!! all your files are encrypted !!!.txt
- C:\far2\documentation\rus\!!! all your files are encrypted !!!.txt
- C:\far2\encyclopedia\!!! all your files are encrypted !!!.txt
- C:\far2\encyclopedia\tap\!!! all your files are encrypted !!!.txt
- C:\far2\fexcept\!!! all your files are encrypted !!!.txt
- C:\far2\plugins\!!! all your files are encrypted !!!.txt
- C:\far2\addons\colors\!!! all your files are encrypted !!!.txt
- C:\far2\addons\xlat\russian\!!! all your files are encrypted !!!.txt
- C:\far2\addons\!!! all your files are encrypted !!!.txt
- D:\$recycle.bin\!!! all your files are encrypted !!!.txt
- %APPDATA%\microsoft\windows\services.exe
- %TEMP%\edb7477f.zeppelin
- %TEMP%\~temp001.bat
- D:\$recycle.bin\.zeppelin
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\.zeppelin
- D:\!!! all your files are encrypted !!!.txt
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\!!! all your files are encrypted !!!.txt
- C:\documents and settings\!!! all your files are encrypted !!!.txt
- C:\$recycle.bin\.zeppelin
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\.zeppelin
- C:\far2\.zeppelin
- C:\!!! all your files are encrypted !!!.txt
- C:\$recycle.bin\!!! all your files are encrypted !!!.txt
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\!!! all your files are encrypted !!!.txt
- C:\far2\!!! all your files are encrypted !!!.txt
- C:\far2\plugins\arclite\!!! all your files are encrypted !!!.txt
Удаляет следующие файлы
- %TEMP%\0dc5e6a4.zeppelin
- %TEMP%\edb7477f.zeppelin
Изменяет следующие файлы
- <Имя диска съемного носителя>:\archer.avi
- C:\far2\farcze.lng
- C:\far2\far.map
- C:\far2\changelog_eng
- C:\far2\changelog
- <Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
- <Имя диска съемного носителя>:\hypothyroidism_slides.pptx
- <Имя диска съемного носителя>:\middaugh_keynote.pptx
- <Имя диска съемного носителя>:\gruenspecht_02172016.pptx
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\split.avi
- C:\far2\fareng.hlf
- C:\far2\fareng.lng
Изменяет множество файлов.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'ge###tool.com':80
- 'ge###tool.com':443
- 'microsoft.com':80
- 'ip###ger.org':80
- 'ip###ger.org':443
- 'oc##.#ectigo.com':80
TCP
Другие
- 'ge###tool.com':443
- 'ip###ger.org':443
UDP
- DNS ASK ge###tool.com
- DNS ASK ge###tatool.com
- DNS ASK microsoft.com
- DNS ASK ip###ger.org
- DNS ASK oc##.#ectigo.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\services.exe' -start
- '%APPDATA%\microsoft\windows\services.exe' -agent 0
- '%APPDATA%\microsoft\windows\services.exe' -agent 1
- '%APPDATA%\microsoft\windows\services.exe' -agent 2
- '%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %TEMP%\~temp001.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet
- '%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet
- '%WINDIR%\syswow64\cmd.exe' /C %TEMP%\~temp001.bat
