Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'svchost.exe' = '"%APPDATA%\Microsoft\Windows\svchost.exe" -start'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
- <Имя диска съемного носителя>:\asaprojectcompetition.pptx
- <Имя диска съемного носителя>:\waterresourcesag.pptx
- <Имя диска съемного носителя>:\hypothyroidism_slides.pptx
- <Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe
- <Имя диска съемного носителя>:\winmine.exe
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\dial.bmp
- <Имя диска съемного носителя>:\dialmap.bmp
- <Имя диска съемного носителя>:\recovery.txt
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
- <Имя диска съемного носителя>:\indogerman2010.pptx
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\9af184e4.zeppelin
- C:\far2\plugins\ftp\recovery.txt
- C:\far2\plugins\ftp\lib\recovery.txt
- C:\far2\plugins\hlfviewer\recovery.txt
- C:\far2\plugins\macroview\recovery.txt
- C:\far2\plugins\network\recovery.txt
- C:\far2\plugins\proclist\recovery.txt
- C:\far2\plugins\tmppanel\recovery.txt
- C:\far2\pluginsdk\headers.c\recovery.txt
- C:\far2\pluginsdk\headers.pas\recovery.txt
- C:\far2\plugins\farcmds\recovery.txt
- C:\far2\plugins\filecase\recovery.txt
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\recovery.txt
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\recovery.txt
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\recovery.txt
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\recovery.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\recovery.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\recovery.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.es\recovery.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.fr\recovery.txt
- C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\recovery.txt
- C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\recovery.txt
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\recovery.txt
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\recovery.txt
- C:\far2\plugins\emenu\recovery.txt
- C:\far2\plugins\editcase\recovery.txt
- C:\far2\plugins\drawline\recovery.txt
- %TEMP%\f5932c2d.zeppelin
- %TEMP%\~temp001.bat
- C:\far2\recovery.txt
- C:\far2\addons\recovery.txt
- C:\far2\addons\colors\recovery.txt
- C:\far2\addons\colors\custom_highlighting\recovery.txt
- C:\far2\addons\colors\default_highlighting\recovery.txt
- C:\far2\addons\macros\recovery.txt
- C:\far2\addons\setup\recovery.txt
- C:\far2\addons\shell\recovery.txt
- %APPDATA%\microsoft\windows\svchost.exe
- C:\far2\addons\xlat\recovery.txt
- C:\far2\documentation\eng\recovery.txt
- C:\far2\documentation\rus\recovery.txt
- C:\far2\encyclopedia\recovery.txt
- C:\far2\encyclopedia\tap\recovery.txt
- C:\far2\fexcept\recovery.txt
- C:\far2\plugins\align\recovery.txt
- C:\far2\plugins\arclite\recovery.txt
- C:\far2\plugins\autowrap\recovery.txt
- C:\far2\plugins\brackets\recovery.txt
- C:\far2\plugins\compare\recovery.txt
- C:\far2\addons\xlat\russian\recovery.txt
- C:\msocache\all users\{90140000-00a1-0409-1000-0000000ff1ce}-c\recovery.txt
- C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\recovery.txt
Удаляет следующие файлы
- %TEMP%\9af184e4.zeppelin
- %TEMP%\f5932c2d.zeppelin
Перемещает следующие файлы
- %ProgramFiles%\360tray\360tray.exe в %ProgramFiles%\360tray\360tray.exe.ec6-a16-200
- %ProgramFiles%\amsn\amsn.exe в %ProgramFiles%\amsn\amsn.exe.ec6-a16-200
- %ProgramFiles%\anti-trojan\anti-trojan.exe в %ProgramFiles%\anti-trojan\anti-trojan.exe.ec6-a16-200
- %ProgramFiles%\antivirus\antivirus.exe в %ProgramFiles%\antivirus\antivirus.exe.ec6-a16-200
- %ProgramFiles%\aoltbserver\aoltbserver.exe в %ProgramFiles%\aoltbserver\aoltbserver.exe.ec6-a16-200
- %ProgramFiles%\armor2net\armor2net.exe в %ProgramFiles%\armor2net\armor2net.exe.ec6-a16-200
- %ProgramFiles%\armorsurf\armorsurf.exe в %ProgramFiles%\armorsurf\armorsurf.exe.ec6-a16-200
- %ProgramFiles%\ash\ash.exe в %ProgramFiles%\ash\ash.exe.ec6-a16-200
- %ProgramFiles%\ashavast\ashavast.exe в %ProgramFiles%\ashavast\ashavast.exe.ec6-a16-200
- %ProgramFiles%\ashavsrv\ashavsrv.exe в %ProgramFiles%\ashavsrv\ashavsrv.exe.ec6-a16-200
- %ProgramFiles%\ashchest\ashchest.exe в %ProgramFiles%\ashchest\ashchest.exe.ec6-a16-200
- %ProgramFiles%\ashdisp\ashdisp.exe в %ProgramFiles%\ashdisp\ashdisp.exe.ec6-a16-200
- %ProgramFiles%\ashdug\ashdug.exe в %ProgramFiles%\ashdug\ashdug.exe.ec6-a16-200
- %ProgramFiles%\ashenhcd\ashenhcd.exe в %ProgramFiles%\ashenhcd\ashenhcd.exe.ec6-a16-200
- %ProgramFiles%\ashlogv\ashlogv.exe в %ProgramFiles%\ashlogv\ashlogv.exe.ec6-a16-200
- %ProgramFiles%\ashmaisv\ashmaisv.exe в %ProgramFiles%\ashmaisv\ashmaisv.exe.ec6-a16-200
- %ProgramFiles%\ashpopwz\ashpopwz.exe в %ProgramFiles%\ashpopwz\ashpopwz.exe.ec6-a16-200
- %ProgramFiles%\ashquick\ashquick.exe в %ProgramFiles%\ashquick\ashquick.exe.ec6-a16-200
- %ProgramFiles%\amon\amon.exe в %ProgramFiles%\amon\amon.exe.ec6-a16-200
- %ProgramFiles%\ashserv\ashserv.exe в %ProgramFiles%\ashserv\ashserv.exe.ec6-a16-200
- %ProgramFiles%\alsvc\alsvc.exe в %ProgramFiles%\alsvc\alsvc.exe.ec6-a16-200
- %ProgramFiles%\airdefense\airdefense.exe в %ProgramFiles%\airdefense\airdefense.exe.ec6-a16-200
- %ProgramFiles%\a2cmd\a2cmd.exe в %ProgramFiles%\a2cmd\a2cmd.exe.ec6-a16-200
- %ProgramFiles%\a2guard\a2guard.exe в %ProgramFiles%\a2guard\a2guard.exe.ec6-a16-200
- %ProgramFiles%\a2hijackfree\a2hijackfree.exe в %ProgramFiles%\a2hijackfree\a2hijackfree.exe.ec6-a16-200
- %ProgramFiles%\a2scan\a2scan.exe в %ProgramFiles%\a2scan\a2scan.exe.ec6-a16-200
- %ProgramFiles%\a2service\a2service.exe в %ProgramFiles%\a2service\a2service.exe.ec6-a16-200
- %ProgramFiles%\a2start\a2start.exe в %ProgramFiles%\a2start\a2start.exe.ec6-a16-200
- %ProgramFiles%\a2upd\a2upd.exe в %ProgramFiles%\a2upd\a2upd.exe.ec6-a16-200
- %ProgramFiles%\a2wizard\a2wizard.exe в %ProgramFiles%\a2wizard\a2wizard.exe.ec6-a16-200
- %ProgramFiles%\aavshield\aavshield.exe в %ProgramFiles%\aavshield\aavshield.exe.ec6-a16-200
- %ProgramFiles%\about\about.exe в %ProgramFiles%\about\about.exe.ec6-a16-200
- %ProgramFiles%\ackwin32\ackwin32.exe в %ProgramFiles%\ackwin32\ackwin32.exe.ec6-a16-200
- %ProgramFiles%\admunch\admunch.exe в %ProgramFiles%\admunch\admunch.exe.ec6-a16-200
- %ProgramFiles%\agb5\agb5.exe в %ProgramFiles%\agb5\agb5.exe.ec6-a16-200
- %ProgramFiles%\ageofconan\ageofconan.exe в %ProgramFiles%\ageofconan\ageofconan.exe.ec6-a16-200
- %ProgramFiles%\ahnsd\ahnsd.exe в %ProgramFiles%\ahnsd\ahnsd.exe.ec6-a16-200
- %ProgramFiles%\aim6\aim6.exe в %ProgramFiles%\aim6\aim6.exe.ec6-a16-200
- %ProgramFiles%\aimpro\aimpro.exe в %ProgramFiles%\aimpro\aimpro.exe.ec6-a16-200
- %ProgramFiles%\almon\almon.exe в %ProgramFiles%\almon\almon.exe.ec6-a16-200
- %ProgramFiles%\ashsimp2\ashsimp2.exe в %ProgramFiles%\ashsimp2\ashsimp2.exe.ec6-a16-200
Изменяет следующие файлы
- C:\far2\changelog
- C:\far2\addons\descript.ion
- C:\far2\file_id.diz
- C:\far2\farspa.lng
- C:\far2\farrus.lng
- C:\far2\farrus.hlf
- C:\far2\farpol.lng
- C:\far2\farhun.lng
- C:\far2\farhun.hlf
- C:\far2\farger.lng
- C:\far2\fareng.lng
- C:\far2\fareng.hlf
- C:\far2\farcze.lng
- C:\far2\far.map
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\dial.bmp
- <Имя диска съемного носителя>:\dialmap.bmp
- <Имя диска съемного носителя>:\000814251_video_01.avi
- C:\far2\changelog_eng
- C:\far2\addons\readme.txt
- C:\far2\addons\colors\descript.ion
Изменяет множество файлов.
Самоперемещается
- из <Полный путь к файлу> в <Полный путь к файлу>.ec6-a16-200
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\svchost.exe' -start
- '%APPDATA%\microsoft\windows\svchost.exe' -agent 1
- '%APPDATA%\microsoft\windows\svchost.exe' -agent 0
- '%APPDATA%\microsoft\windows\svchost.exe' -agent 2
- '%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %TEMP%\~temp001.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet
- '%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet
- '%WINDIR%\syswow64\cmd.exe' /C %TEMP%\~temp001.bat
