Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\22056.bat
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
изменяет следующие системные настройки:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\iisstart.htm
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\trivial-merge.htm
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\db60.tmp\db61.bat
- %HOMEPATH%\music\rexplo note.txt
- %HOMEPATH%\pictures\rexplo note.txt
- %HOMEPATH%\documents\rexplo note.txt
- %HOMEPATH%\downloads\rexplo note.txt
- %HOMEPATH%\desktop\rexplo note.txt
- %HOMEPATH%\pictures\imagejgourgcraszqxzajgzqzzfhonzaqek.jpg
- %APPDATA%\fondo_antiguo.jpg
- %APPDATA%\id
- %HOMEPATH%\desktop\musiclog9480.ini
- %HOMEPATH%\desktop\documentslog24874.ini
- %HOMEPATH%\desktop\desktoplog30954.ini
- <Текущая директория>\rnsm-indef.exe
- <Текущая директория>\rnsm.exe
- <Текущая директория>\rexplobg.bmp
- <Текущая директория>\openmeopenmeopenmeopenmeopenmeopenmeopenmeopenmeopenmeopenmeopenmeopenmeopenme.txt
- %HOMEPATH%\videos\rexplo note.txt
- %APPDATA%\rexplo note.txt
Удаляет следующие файлы
- %HOMEPATH%\pictures\imagejgourgcraszqxzajgzqzzfhonzaqek.jpg
Перемещает следующие файлы
- %HOMEPATH%\desktop\desktoplog30954.ini в %HOMEPATH%\desktop\desktoplog30954.ini.rexplo
- %HOMEPATH%\desktop\documentslog24874.ini в %HOMEPATH%\desktop\documentslog24874.ini.rexplo
- %HOMEPATH%\desktop\musiclog9480.ini в %HOMEPATH%\desktop\musiclog9480.ini.rexplo
Изменяет следующие файлы
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\icq.lnk
- %HOMEPATH%\desktop\mail.ru agent.lnk
- %HOMEPATH%\desktop\qip 2012.lnk
- %HOMEPATH%\desktop\telegram.lnk
- %HOMEPATH%\desktop\total commander 64 bit.lnk
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Ищет следующие окна
- ClassName: 'GadgetHost' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\rnsm.exe'
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\DB60.tmp\DB61.bat <Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\DB60.tmp\DB61.bat <Полный путь к файлу>"
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoRun /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '<SYSTEM32>\mshta.exe' vbscript:Execute("window.moveTo -1000,-1000:Msgbox(""Your important files are encrypted. In 1 minute the files will be deleted, but you can try to recovery these. Wait for next message and foll...
- '<SYSTEM32>\timeout.exe' /t 60 /nobreak
- '%WINDIR%\syswow64\notepad.exe' %APPDATA%\RExplo note.txt
