Trojan.DelShadows.20

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\Fax] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\Fax] 'ImagePath' = '<Полный путь к файлу>'

Создает следующие сервисы

'Fax' <Полный путь к файлу>

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\readme.txt
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe
<Имя диска съемного носителя>:\lisp_success.doc
<Имя диска съемного носителя>:\weeklysheet1215.doc
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\tileimage.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\chromesetup.exe
<Имя диска съемного носителя>:\notepad.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Внедряет код в

следующие системные процессы:

<SYSTEM32>\csrss.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\dlaksjdoiwq.jpg
%TEMP%\fkdjsadasd.ico
%WINDIR%\temp\dlaksjdoiwq.jpg
%WINDIR%\temp\fkdjsadasd.ico

Изменяет следующие файлы

<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\cveuropeo.doc
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\weeklysheet1215.doc
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\tileimage.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\lisp_success.doc

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Ищет следующие окна

ClassName: 'SystemTray_Main' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C shutdown -r -f -t 0' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysNative\vssadmin.exe delete shadows /all /quiet
'%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\vssadmin.exe delete shadows /all /quiet
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set safeboot network
'%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\bcdedit.exe /set safeboot network
'%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysNative\bcdedit.exe /set safeboot network
'<SYSTEM32>\bcdedit.exe' /set safeboot network
'%WINDIR%\syswow64\cmd.exe' /C shutdown -r -f -t 0
'%WINDIR%\syswow64\shutdown.exe' -r -f -t 0

Пытается завершить работу операционной системы Windows.