Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\recover_your_files.html
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- C:\recover_your_files.html
- C:\users\public\recorded tv\sample media\recover_your_files.html
- C:\users\public\recorded tv\recover_your_files.html
- C:\users\public\pictures\sample pictures\recover_your_files.html
- C:\users\public\music\sample music\recover_your_files.html
- C:\users\public\libraries\recover_your_files.html
- C:\users\public\documents\my videos\recover_your_files.html
- C:\users\public\favorites\recover_your_files.html
- C:\users\public\downloads\recover_your_files.html
- C:\users\public\documents\my pictures\recover_your_files.html
- C:\users\public\documents\my music\recover_your_files.html
- C:\users\public\documents\recover_your_files.html
- C:\users\default\templates\recover_your_files.html
- C:\users\default\sendto\recover_your_files.html
- C:\users\public\recover_your_files.html
- C:\users\public\desktop\recover_your_files.html
- C:\users\default\start menu\recover_your_files.html
- C:\users\default\recent\recover_your_files.html
- C:\users\default\local settings\recover_your_files.html
- C:\users\default\saved games\recover_your_files.html
- C:\users\default\printhood\recover_your_files.html
- C:\users\default\nethood\recover_your_files.html
- C:\users\default\links\recover_your_files.html
- C:\users\default\favorites\recover_your_files.html
- C:\users\public\videos\sample videos\recover_your_files.html
- %HOMEPATH%\recover_your_files.html
- %HOMEPATH%\application data\recover_your_files.html
- %HOMEPATH%\contacts\recover_your_files.html
- %HOMEPATH%\templates\recover_your_files.html
- D:\recover_your_files.html
- %HOMEPATH%\voip\recover_your_files.html
- %HOMEPATH%\sendto\recover_your_files.html
- %HOMEPATH%\searches\recover_your_files.html
- %HOMEPATH%\saved games\recover_your_files.html
- %HOMEPATH%\recent\recover_your_files.html
- %HOMEPATH%\printhood\recover_your_files.html
- %HOMEPATH%\nethood\recover_your_files.html
- %HOMEPATH%\local settings\recover_your_files.html
- %HOMEPATH%\links\recover_your_files.html
- %HOMEPATH%\favorites\msn websites\recover_your_files.html
- %HOMEPATH%\favorites\windows live\recover_your_files.html
- %HOMEPATH%\favorites\microsoft websites\recover_your_files.html
- %HOMEPATH%\favorites\links for united states\recover_your_files.html
- %HOMEPATH%\favorites\links\recover_your_files.html
- %HOMEPATH%\favorites\recover_your_files.html
- %HOMEPATH%\downloads\recover_your_files.html
- %HOMEPATH%\documents\my videos\recover_your_files.html
- %HOMEPATH%\documents\my pictures\recover_your_files.html
- %HOMEPATH%\documents\my music\recover_your_files.html
- %HOMEPATH%\documents\recover_your_files.html
- %HOMEPATH%\cookies\recover_your_files.html
- %HOMEPATH%\desktop\recover_your_files.html
- %HOMEPATH%\start menu\recover_your_files.html
- C:\users\default\documents\my videos\recover_your_files.html
- C:\users\default\downloads\recover_your_files.html
- C:\users\default\documents\my pictures\recover_your_files.html
- C:\far2\plugins\arclite\recover_your_files.html
- C:\far2\plugins\autowrap\recover_your_files.html
- C:\far2\plugins\brackets\recover_your_files.html
- C:\far2\fexcept\recover_your_files.html
- C:\far2\plugins\align\recover_your_files.html
- C:\far2\plugins\recover_your_files.html
- C:\far2\encyclopedia\tap\recover_your_files.html
- C:\far2\encyclopedia\recover_your_files.html
- C:\far2\documentation\rus\recover_your_files.html
- C:\far2\documentation\eng\recover_your_files.html
- C:\far2\documentation\recover_your_files.html
- C:\far2\addons\xlat\recover_your_files.html
- C:\far2\addons\xlat\russian\recover_your_files.html
- C:\far2\addons\shell\recover_your_files.html
- C:\far2\addons\setup\recover_your_files.html
- C:\far2\addons\colors\custom_highlighting\recover_your_files.html
- C:\far2\addons\colors\default_highlighting\recover_your_files.html
- C:\far2\addons\macros\recover_your_files.html
- C:\far2\addons\colors\recover_your_files.html
- C:\far2\addons\recover_your_files.html
- C:\far2\recover_your_files.html
- C:\documents and settings\recover_your_files.html
- <Текущая директория>\recover_your_files.html
- C:\far2\plugins\compare\recover_your_files.html
- C:\far2\plugins\drawline\recover_your_files.html
- C:\far2\plugins\editcase\recover_your_files.html
- C:\far2\plugins\emenu\recover_your_files.html
- C:\users\default\documents\recover_your_files.html
- C:\users\default\desktop\recover_your_files.html
- C:\users\default\cookies\recover_your_files.html
- C:\users\default\application data\recover_your_files.html
- C:\users\default\recover_your_files.html
- C:\totalcmd\language\recover_your_files.html
- C:\totalcmd\recover_your_files.html
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\recover_your_files.html
- C:\perflogs\admin\recover_your_files.html
- C:\recovery\recover_your_files.html
- C:\msocache\recover_your_files.html
- C:\far2\pluginsdk\headers.pas\recover_your_files.html
- C:\perflogs\recover_your_files.html
- C:\far2\pluginsdk\headers.c\recover_your_files.html
- C:\far2\pluginsdk\recover_your_files.html
- C:\far2\plugins\tmppanel\recover_your_files.html
- C:\far2\plugins\proclist\recover_your_files.html
- C:\far2\plugins\network\recover_your_files.html
- C:\far2\plugins\macroview\recover_your_files.html
- C:\far2\plugins\hlfviewer\recover_your_files.html
- C:\far2\plugins\ftp\lib\recover_your_files.html
- C:\far2\plugins\ftp\recover_your_files.html
- C:\far2\plugins\filecase\recover_your_files.html
- C:\far2\plugins\farcmds\recover_your_files.html
- C:\users\default\documents\my music\recover_your_files.html
- m:\recover_your_files.html
Изменяет следующие файлы
- C:\far2\changelog.astra
- C:\far2\addons\macros\descript.ion.astra
- C:\far2\addons\macros\altsearch.reg.astra
- C:\far2\addons\macros\altmenu.reg.astra
- C:\far2\addons\macros\ctrldel.reg.astra
- C:\far2\addons\macros\ctrlf10.reg.astra
- C:\far2\addons\macros\altx.reg.astra
- C:\far2\addons\colors\descript.ion.astra
- C:\far2\addons\colors\import_colors.bat.astra
- C:\far2\restoresettings.cmd.astra
- C:\far2\farrus.lng.astra
- C:\far2\addons\colors\export_colors.bat.astra
- C:\far2\farspa.lng.astra
- C:\far2\addons\readme.txt.astra
- C:\far2\savesettings.cmd.astra
- C:\far2\farrus.hlf.astra
- C:\far2\file_id.diz.astra
- C:\far2\addons\descript.ion.astra
- C:\far2\farpol.lng.astra
- C:\far2\farger.lng.astra
- C:\far2\farhun.hlf.astra
- C:\far2\clearpluginscache.cmd.astra
- C:\far2\farhun.lng.astra
- C:\far2\fareng.lng.astra
- C:\far2\farcze.lng.astra
- C:\far2\fareng.hlf.astra
- C:\far2\changelog_eng.astra
- C:\far2\far.map.astra
- C:\far2\addons\macros\dialog_altdown.reg.astra
- C:\far2\addons\macros\altscreens.reg.astra
Изменяет множество файлов.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c bcdedit /set {default} recoveryenabled no' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet
- '<SYSTEM32>\cmd.exe' /c bcdedit /set {default} recoveryenabled no
