Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- C:\hello.txt
- C:\far2\pluginsdk\headers.c\hello.txt
- C:\far2\pluginsdk\headers.pas\hello.txt
- C:\msocache\hello.txt
- <Текущая директория>\hello.txt
- C:\perflogs\hello.txt
- C:\perflogs\admin\hello.txt
- %ProgramFiles%\hello.txt
- %ProgramFiles%\360tray\hello.txt
- %ProgramFiles%\a2cmd\hello.txt
- %ProgramFiles%\a2guard\hello.txt
- %ProgramFiles%\a2hijackfree\hello.txt
- %ProgramFiles%\a2scan\hello.txt
- %ProgramFiles%\a2start\hello.txt
- C:\far2\plugins\tmppanel\hello.txt
- C:\far2\pluginsdk\hello.txt
- %ProgramFiles%\a2upd\hello.txt
- %ProgramFiles%\a2wizard\hello.txt
- %ProgramFiles%\anti-trojan\hello.txt
- %ProgramFiles%\amon\hello.txt
- %ProgramFiles%\almon\hello.txt
- %ProgramFiles%\airdefense\hello.txt
- %ProgramFiles%\aim6\hello.txt
- C:\far2\plugins\drawline\hello.txt
- %ProgramFiles%\aimpro\hello.txt
- %ProgramFiles%\agb5\hello.txt
- %ProgramFiles%\a2service\hello.txt
- %ProgramFiles%\ageofconan\hello.txt
- %ProgramFiles%\admunch\hello.txt
- %ProgramFiles%\ackwin32\hello.txt
- %ProgramFiles%\about\hello.txt
- %ProgramFiles%\aavshield\hello.txt
- C:\far2\plugins\proclist\hello.txt
- C:\far2\plugins\network\hello.txt
- C:\far2\plugins\macroview\hello.txt
- C:\far2\hello.txt
- C:\far2\addons\hello.txt
- C:\far2\addons\colors\hello.txt
- C:\far2\addons\colors\custom_highlighting\hello.txt
- C:\far2\addons\colors\default_highlighting\hello.txt
- C:\far2\addons\macros\hello.txt
- C:\far2\addons\setup\hello.txt
- C:\far2\addons\shell\hello.txt
- C:\far2\documentation\hello.txt
- C:\far2\addons\xlat\hello.txt
- C:\far2\documentation\rus\hello.txt
- C:\far2\documentation\eng\hello.txt
- C:\far2\encyclopedia\hello.txt
- C:\far2\addons\xlat\russian\hello.txt
- C:\documents and settings\hello.txt
- C:\far2\encyclopedia\tap\hello.txt
- C:\far2\plugins\hlfviewer\hello.txt
- C:\far2\fexcept\hello.txt
- C:\far2\plugins\hello.txt
- C:\far2\plugins\align\hello.txt
- C:\far2\plugins\arclite\hello.txt
- C:\far2\plugins\autowrap\hello.txt
- C:\far2\plugins\brackets\hello.txt
- %ProgramFiles%\ahnsd\hello.txt
- C:\far2\plugins\compare\hello.txt
- %ProgramFiles%\amsn\hello.txt
- C:\far2\plugins\emenu\hello.txt
- C:\far2\plugins\farcmds\hello.txt
- C:\far2\plugins\filecase\hello.txt
- C:\far2\plugins\ftp\hello.txt
- C:\far2\plugins\ftp\lib\hello.txt
- C:\far2\plugins\editcase\hello.txt
- %ProgramFiles%\alsvc\hello.txt
Изменяет следующие файлы
- C:\far2\changelog.hello
- C:\far2\addons\colors\default_highlighting\black_from_myodov.reg.hello
- C:\far2\addons\colors\default_highlighting\colors_from_gernichenko.reg.hello
- C:\far2\addons\colors\default_highlighting\farcolors242.reg.hello
- C:\far2\addons\colors\default_highlighting\colors_from_sadovoj.reg.hello
- C:\far2\addons\colors\default_highlighting\dn_like.reg.hello
- C:\far2\addons\colors\default_highlighting\descript.ion.hello
- C:\far2\addons\colors\import_colors.bat.hello
- C:\far2\savesettings.cmd.hello
- C:\far2\restoresettings.cmd.hello
- C:\far2\farrus.hlf.hello
- C:\far2\addons\colors\export_colors.bat.hello
- C:\far2\farrus.lng.hello
- C:\far2\addons\colors\descript.ion.hello
- C:\far2\file_id.diz.hello
- C:\far2\farspa.lng.hello
- C:\far2\addons\readme.txt.hello
- C:\far2\addons\descript.ion.hello
- C:\far2\farpol.lng.hello
- C:\far2\farger.lng.hello
- C:\far2\farhun.hlf.hello
- C:\far2\farhun.lng.hello
- C:\far2\clearpluginscache.cmd.hello
- C:\far2\farcze.lng.hello
- C:\far2\far.map.hello
- C:\far2\fareng.hlf.hello
- C:\far2\fareng.lng.hello
- C:\far2\changelog_eng.hello
- C:\far2\addons\colors\default_highlighting\colors_from_admin_essp_ru.reg.hello
- C:\far2\addons\colors\default_highlighting\black_from_july.reg.hello
Изменяет множество файлов.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet
