Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] '*aster' = 'C:\Users\Public\enc.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\\nbshhgxuct-recover-readme.txt
- <Имя диска съемного носителя>:\10thingscondoms.pdf
- <Имя диска съемного носителя>:\1189.jpeg
- <Имя диска съемного носителя>:\13.jpeg
- <Имя диска съемного носителя>:\168.jpg
- <Имя диска съемного носителя>:\2.jpeg
- <Имя диска съемного носителя>:\2013_smccc_competition_points_jul2013.xlsx
- <Имя диска съемного носителя>:\210252809.jpeg
- <Имя диска съемного носителя>:\3.jpeg
- <Имя диска съемного носителя>:\3.jpg
- <Имя диска съемного носителя>:\4f0bf7ff71f28.jpeg
- <Имя диска съемного носителя>:\4f0bf7ff71f28.jpg
- <Имя диска съемного носителя>:\asaprojectcompetition.pptx
- <Имя диска съемного носителя>:\roozenedowebinar.pptx
- <Имя диска съемного носителя>:\waterresourcesag.pptx
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Межсетевой экран (Брандмауэр Windows)
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\1916.log
- C:\far2\documentation\nbshhgxuct-recover-readme.txt
- C:\far2\documentation\eng\nbshhgxuct-recover-readme.txt
- C:\far2\documentation\rus\nbshhgxuct-recover-readme.txt
- C:\far2\encyclopedia\nbshhgxuct-recover-readme.txt
- C:\far2\encyclopedia\tap\nbshhgxuct-recover-readme.txt
- C:\far2\fexcept\nbshhgxuct-recover-readme.txt
- C:\far2\pluginsdk\nbshhgxuct-recover-readme.txt
- C:\far2\pluginsdk\headers.c\nbshhgxuct-recover-readme.txt
- C:\far2\pluginsdk\headers.pas\nbshhgxuct-recover-readme.txt
- C:\far2\plugins\nbshhgxuct-recover-readme.txt
- C:\far2\plugins\align\nbshhgxuct-recover-readme.txt
- C:\far2\plugins\autowrap\nbshhgxuct-recover-readme.txt
- C:\far2\plugins\brackets\nbshhgxuct-recover-readme.txt
- C:\far2\plugins\compare\nbshhgxuct-recover-readme.txt
- C:\far2\plugins\drawline\nbshhgxuct-recover-readme.txt
- C:\far2\plugins\emenu\nbshhgxuct-recover-readme.txt
- C:\far2\plugins\editcase\nbshhgxuct-recover-readme.txt
- C:\far2\addons\xlat\russian\nbshhgxuct-recover-readme.txt
- C:\far2\plugins\ftp\nbshhgxuct-recover-readme.txt
- C:\far2\addons\xlat\nbshhgxuct-recover-readme.txt
- C:\far2\addons\setup\nbshhgxuct-recover-readme.txt
- %WINDIR%\temp\fwtsqmfile01.sqm
- C:\users\public\enc.exe
- nul
- C:\users\public\shares.log
- C:\users\public\successpreload.5d56f0d0-11d0-11ed-9c39-d04d81bb7c20.log
- C:\users\public\netuse5d56f0d0-11d0-11ed-9c39-d04d81bb7c20.log
- D:\\nbshhgxuct-recover-readme.txt
- C:\\nbshhgxuct-recover-readme.txt
- D:\$recycle.bin\nbshhgxuct-recover-readme.txt
- C:\$recycle.bin\nbshhgxuct-recover-readme.txt
- C:\documents and settings\nbshhgxuct-recover-readme.txt
- C:\far2\nbshhgxuct-recover-readme.txt
- C:\far2\addons\nbshhgxuct-recover-readme.txt
- C:\far2\addons\colors\nbshhgxuct-recover-readme.txt
- C:\far2\addons\colors\custom_highlighting\nbshhgxuct-recover-readme.txt
- C:\far2\addons\colors\default_highlighting\nbshhgxuct-recover-readme.txt
- C:\far2\addons\macros\nbshhgxuct-recover-readme.txt
- C:\far2\addons\shell\nbshhgxuct-recover-readme.txt
- C:\far2\plugins\ftp\lib\nbshhgxuct-recover-readme.txt
Изменяет следующие файлы
- D:\install.log.nbshhgxuct
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'View Available Networks'
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "\"{get-service LanmanWorkstation |Restart-Service –Force}\""
- '<SYSTEM32>\net.exe' use
