Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.tcmsagkey
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer.tcmsagkey
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.tcmsagkey
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- <Имя диска съемного носителя>:\middaugh_keynote.pptx.tcmsagkey
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.tcmsagkey
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\weeklysheet1215.doc.tcmsagkey
- <Имя диска съемного носителя>:\samieee_obiee_presentation.pptx
- <Имя диска съемного носителя>:\samieee_obiee_presentation.pptx.tcmsagkey
- <Имя диска съемного носителя>:\middaugh_keynote.pptx
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\february_catalogue__2015.doc.tcmsagkey
- <Имя диска съемного носителя>:\contoso_1.cer.tcmsagkey
- <Имя диска съемного носителя>:\toolbar.bmp.tcmsagkey
- <Имя диска съемного носителя>:\correct.avi.tcmsagkey
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\join.avi.tcmsagkey
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\000814251_video_01.avi.tcmsagkey
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer.tcmsagkey
- <Имя диска съемного носителя>:\tileimage.bmp.tcmsagkey
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp.tcmsagkey
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp.tcmsagkey
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\decrypt-tcmsag-decrypt.hta
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- C:\$recycle.bin\s-1-5-18\desktop.ini
- C:\far2\plugins\ftp\notes_rus.txt.tcmsagkey
- C:\far2\plugins\ftp\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\hlfviewer\changelog.tcmsagkey
- C:\far2\plugins\hlfviewer\hlfviewer.map.tcmsagkey
- C:\far2\plugins\hlfviewer\hlfviewereng.hlf.tcmsagkey
- C:\far2\plugins\hlfviewer\hlfviewereng.lng.tcmsagkey
- C:\far2\plugins\hlfviewer\hlfviewerrus.hlf.tcmsagkey
- C:\far2\plugins\hlfviewer\hlfviewerrus.lng.tcmsagkey
- C:\far2\plugins\hlfviewer\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\macroview\changelog.tcmsagkey
- C:\far2\plugins\macroview\macroeng.hlf.tcmsagkey
- C:\far2\plugins\ftp\lib\ftpprogress.fll.tcmsagkey
- C:\far2\plugins\macroview\macroeng.lng.tcmsagkey
- C:\far2\plugins\macroview\macrorus.lng.tcmsagkey
- C:\far2\plugins\macroview\macroview.map.tcmsagkey
- C:\far2\plugins\macroview\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\network\changelog.tcmsagkey
- C:\far2\plugins\network\neteng.hlf.tcmsagkey
- C:\far2\plugins\network\neteng.lng.tcmsagkey
- C:\far2\plugins\network\netrus.hlf.tcmsagkey
- C:\far2\plugins\network\netrus.lng.tcmsagkey
- C:\far2\plugins\network\network.map.tcmsagkey
- C:\far2\plugins\network\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\proclist\changelog.tcmsagkey
- C:\far2\plugins\ftp\lib\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\ftp\notes.txt.tcmsagkey
- C:\far2\plugins\ftp\lib\ftpprogress.map.tcmsagkey
- C:\far2\plugins\ftp\lib\ftpdirlist.map.tcmsagkey
- C:\far2\plugins\proclist\proceng.lng.tcmsagkey
- C:\far2\plugins\emenu\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\farcmds\changelog.tcmsagkey
- C:\far2\plugins\farcmds\farcmds.map.tcmsagkey
- C:\far2\plugins\farcmds\farcmdseng.hlf.tcmsagkey
- C:\far2\plugins\farcmds\farcmdseng.lng.tcmsagkey
- C:\far2\plugins\farcmds\farcmdsrus.hlf.tcmsagkey
- C:\far2\plugins\farcmds\farcmdsrus.lng.tcmsagkey
- C:\far2\plugins\farcmds\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\filecase\caseeng.hlf.tcmsagkey
- C:\far2\plugins\filecase\caseeng.lng.tcmsagkey
- C:\far2\plugins\proclist\proceng.hlf.tcmsagkey
- C:\far2\plugins\emenu\emenurus.hlf.tcmsagkey
- C:\far2\plugins\macroview\macrorus.hlf.tcmsagkey
- C:\far2\plugins\filecase\caserus.hlf.tcmsagkey
- C:\far2\plugins\filecase\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\ftp\changelog.tcmsagkey
- C:\far2\plugins\ftp\farftp.map.tcmsagkey
- C:\far2\plugins\ftp\ftpcmds.txt.tcmsagkey
- C:\far2\plugins\ftp\ftpcmds_rus.txt.tcmsagkey
- C:\far2\plugins\ftp\ftpeng.hlf.tcmsagkey
- C:\far2\plugins\ftp\ftpeng.lng.tcmsagkey
- C:\far2\plugins\ftp\ftprus.hlf.tcmsagkey
- C:\far2\plugins\ftp\ftprus.lng.tcmsagkey
- C:\far2\plugins\ftp\lib\ftpdirlist.fll.tcmsagkey
- C:\far2\plugins\filecase\caserus.lng.tcmsagkey
- C:\far2\plugins\filecase\changelog.tcmsagkey
- C:\far2\plugins\filecase\filecase.map.tcmsagkey
- C:\far2\plugins\arclite\7zs2.sfx.tcmsagkey
- C:\far2\plugins\proclist\proclist.map.tcmsagkey
- C:\totalcmd\descript.ion.tcmsagkey
- C:\totalcmd\history.txt.tcmsagkey
- C:\totalcmd\keyboard.txt.tcmsagkey
- C:\totalcmd\language\wcmd_chn.inc.tcmsagkey
- C:\totalcmd\language\wcmd_chn.lng.tcmsagkey
- C:\totalcmd\language\wcmd_chn.mnu.tcmsagkey
- C:\totalcmd\language\wcmd_cz.inc.tcmsagkey
- C:\totalcmd\language\wcmd_cz.lng.tcmsagkey
- C:\totalcmd\language\wcmd_cz.mnu.tcmsagkey
- C:\totalcmd\language\wcmd_dan.inc.tcmsagkey
- C:\totalcmd\language\wcmd_dan.lng.tcmsagkey
- C:\totalcmd\language\wcmd_dan.mnu.tcmsagkey
- C:\totalcmd\default.bar.tcmsagkey
- C:\far2\plugins\emenu\emenueng.lng.tcmsagkey
- C:\recovery\decrypt-tcmsag-decrypt.hta
- C:\totalcmd\language\wcmd_dut.inc.tcmsagkey
- C:\totalcmd\language\wcmd_dut.lng.tcmsagkey
- C:\totalcmd\language\wcmd_dut.mnu.tcmsagkey
- C:\totalcmd\language\wcmd_eng.mnu.tcmsagkey
- C:\totalcmd\language\wcmd_esp.inc.tcmsagkey
- C:\totalcmd\language\wcmd_esp.lng.tcmsagkey
- C:\totalcmd\language\wcmd_esp.mnu.tcmsagkey
- C:\totalcmd\language\wcmd_fra.inc.tcmsagkey
- C:\totalcmd\language\wcmd_fra.lng.tcmsagkey
- C:\totalcmd\language\wcmd_fra.mnu.tcmsagkey
- C:\totalcmd\language\wcmd_hun.inc.tcmsagkey
- C:\totalcmd\language\wcmd_deu.lng.tcmsagkey
- C:\totalcmd\language\wcmd_deu.inc.tcmsagkey
- C:\far2\plugins\emenu\emenurus.lng.tcmsagkey
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winre.wim.tcmsagkey
- C:\far2\pluginsdk\headers.c\farcolor.hpp.tcmsagkey
- C:\far2\plugins\proclist\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\tmppanel\changelog.tcmsagkey
- C:\far2\plugins\tmppanel\disks_eng.temp.tcmsagkey
- C:\far2\plugins\tmppanel\disks_rus.temp.tcmsagkey
- C:\far2\plugins\tmppanel\shortcuts_eng.temp.tcmsagkey
- C:\far2\plugins\tmppanel\shortcuts_rus.temp.tcmsagkey
- C:\far2\plugins\tmppanel\tmpeng.hlf.tcmsagkey
- C:\far2\plugins\tmppanel\tmpeng.lng.tcmsagkey
- C:\far2\plugins\tmppanel\tmppanel.map.tcmsagkey
- C:\far2\plugins\tmppanel\tmprus.hlf.tcmsagkey
- C:\far2\plugins\tmppanel\tmprus.lng.tcmsagkey
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\proclist\procrus.hlf.tcmsagkey
- C:\far2\plugins\proclist\procrus.lng.tcmsagkey
- C:\far2\pluginsdk\headers.c\farkeys.hpp.tcmsagkey
- C:\far2\pluginsdk\headers.c\plugin.hpp.tcmsagkey
- C:\far2\pluginsdk\headers.c\decrypt-tcmsag-decrypt.hta
- C:\far2\pluginsdk\headers.pas\farcolorw.pas.tcmsagkey
- C:\far2\pluginsdk\headers.pas\farkeysw.pas.tcmsagkey
- C:\far2\pluginsdk\headers.pas\pluginw.pas.tcmsagkey
- C:\far2\pluginsdk\headers.pas\decrypt-tcmsag-decrypt.hta
- C:\far2\pluginsdk\decrypt-tcmsag-decrypt.hta
- C:\far2\decrypt-tcmsag-decrypt.hta
- <Текущая директория>\decrypt-tcmsag-decrypt.hta
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\boot.sdi.tcmsagkey
- C:\far2\plugins\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\tmppanel\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\emenu\emenueng.hlf.tcmsagkey
- C:\far2\plugins\emenu\emenu.map.tcmsagkey
- C:\far2\plugins\emenu\changelog.tcmsagkey
- C:\far2\documentation\eng\arc_support.txt.tcmsagkey
- C:\far2\documentation\eng\bug_report.txt.tcmsagkey
- C:\far2\documentation\eng\far_faq.txt.tcmsagkey
- C:\far2\documentation\eng\plugins_install.txt.tcmsagkey
- C:\far2\documentation\eng\plugins_review.txt.tcmsagkey
- C:\far2\documentation\eng\techinfo.txt.tcmsagkey
- C:\far2\documentation\eng\decrypt-tcmsag-decrypt.hta
- C:\far2\documentation\rus\arc_support.txt.tcmsagkey
- C:\far2\documentation\rus\bug_report.txt.tcmsagkey
- C:\far2\documentation\rus\far_faq.txt.tcmsagkey
- C:\far2\addons\decrypt-tcmsag-decrypt.hta
- C:\far2\addons\colors\default_highlighting\decrypt-tcmsag-decrypt.hta
- C:\far2\changelog_eng.tcmsagkey
- C:\far2\documentation\rus\plugins_install.txt.tcmsagkey
- C:\far2\documentation\decrypt-tcmsag-decrypt.hta
- C:\far2\encyclopedia\farencyclopedia_ru.chm.tcmsagkey
- C:\far2\encyclopedia\tap\12_r0m.tap.tcmsagkey
- C:\far2\encyclopedia\tap\code.idb.tcmsagkey
- C:\far2\encyclopedia\tap\decrypt-tcmsag-decrypt.hta
- C:\far2\encyclopedia\decrypt-tcmsag-decrypt.hta
- C:\far2\far.map.tcmsagkey
- C:\far2\farcze.lng.tcmsagkey
- C:\far2\fareng.hlf.tcmsagkey
- C:\far2\fareng.lng.tcmsagkey
- C:\far2\documentation\rus\plugins_review.txt.tcmsagkey
- C:\far2\documentation\rus\techinfo.txt.tcmsagkey
- C:\far2\documentation\rus\decrypt-tcmsag-decrypt.hta
- C:\totalcmd\language\wcmd_hun.lng.tcmsagkey
- C:\far2\farger.lng.tcmsagkey
- C:\far2\addons\xlat\russian\descript.ion.tcmsagkey
- %TEMP%\microsoft\windows\aukah5\windows.sys:qvqhfjkvnrdtqgtt
- %TEMP%\microsoft\windows\dxcdtt\windows.sys:dhpkxqkdun
- %TEMP%\microsoft\windows\boukbt\windows.sys:qxoyhxveerelbnrwg
- z:\$recycle.bin\s-1-5-18\desktop.ini
- D:\install.log.tcmsagkey
- z:\xeldz.tcmsagkey
- C:\far2\addons\colors\custom_highlighting\descript.ion.tcmsagkey
- D:\decrypt-tcmsag-decrypt.hta
- C:\far2\addons\colors\custom_highlighting\decrypt-tcmsag-decrypt.hta
- C:\far2\addons\colors\default_highlighting\descript.ion.tcmsagkey
- z:\decrypt-tcmsag-decrypt.hta
- C:\far2\addons\xlat\russian\decrypt-tcmsag-decrypt.hta
- C:\far2\addons\xlat\decrypt-tcmsag-decrypt.hta
- z:\xeldz.tcmsag
- C:\far2\addons\colors\decrypt-tcmsag-decrypt.hta
- C:\far2\addons\descript.ion.tcmsagkey
- C:\far2\addons\macros\descript.ion.tcmsagkey
- C:\far2\addons\macros\decrypt-tcmsag-decrypt.hta
- C:\far2\addons\readme.txt.tcmsagkey
- C:\far2\addons\setup\descript.ion.tcmsagkey
- C:\far2\addons\setup\decrypt-tcmsag-decrypt.hta
- C:\far2\addons\shell\descript.ion.tcmsagkey
- C:\far2\addons\shell\farhere.inf.tcmsagkey
- C:\far2\addons\shell\decrypt-tcmsag-decrypt.hta
- C:\far2\addons\xlat\descript.ion.tcmsagkey
- D:\$recycle.bin\s-1-5-18\desktop.ini
- C:\far2\addons\colors\descript.ion.tcmsagkey
- C:\totalcmd\language\wcmd_deu.mnu.tcmsagkey
- C:\far2\farhun.hlf.tcmsagkey
- C:\far2\farrus.hlf.tcmsagkey
- C:\far2\plugins\brackets\brackrus.hlf.tcmsagkey
- C:\far2\plugins\brackets\brackrus.lng.tcmsagkey
- C:\far2\plugins\brackets\changelog.tcmsagkey
- C:\far2\plugins\brackets\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\compare\changelog.tcmsagkey
- C:\far2\plugins\compare\cmpeng.hlf.tcmsagkey
- C:\far2\plugins\compare\cmprus.hlf.tcmsagkey
- C:\far2\plugins\compare\compare.map.tcmsagkey
- C:\far2\plugins\compare\compeng.lng.tcmsagkey
- C:\far2\plugins\compare\comprus.lng.tcmsagkey
- C:\far2\plugins\compare\decrypt-tcmsag-decrypt.hta
- C:\far2\farhun.lng.tcmsagkey
- C:\far2\plugins\brackets\brackets.map.tcmsagkey
- C:\far2\plugins\brackets\brackeng.lng.tcmsagkey
- C:\far2\plugins\drawline\drawline.map.tcmsagkey
- C:\far2\plugins\drawline\drawrus.hlf.tcmsagkey
- C:\far2\plugins\drawline\drawrus.lng.tcmsagkey
- C:\far2\plugins\drawline\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\editcase\changelog.tcmsagkey
- C:\far2\plugins\editcase\ecaseeng.hlf.tcmsagkey
- C:\far2\plugins\editcase\ecaseeng.lng.tcmsagkey
- C:\far2\plugins\editcase\ecaserus.hlf.tcmsagkey
- C:\far2\plugins\editcase\ecaserus.lng.tcmsagkey
- C:\far2\plugins\editcase\editcase.map.tcmsagkey
- C:\far2\plugins\editcase\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\drawline\changelog.tcmsagkey
- C:\far2\plugins\drawline\draweng.lng.tcmsagkey
- C:\far2\farpol.lng.tcmsagkey
- C:\far2\plugins\drawline\draweng.hlf.tcmsagkey
- C:\far2\changelog.tcmsagkey
- C:\far2\farrus.lng.tcmsagkey
- C:\far2\farspa.lng.tcmsagkey
- C:\far2\fexcept\changelog.tcmsagkey
- C:\far2\fexcept\decrypt-tcmsag-decrypt.hta
- C:\far2\file_id.diz.tcmsagkey
- C:\far2\plugins\align\align.map.tcmsagkey
- C:\far2\plugins\align\aligneng.lng.tcmsagkey
- C:\far2\plugins\align\alignrus.lng.tcmsagkey
- C:\far2\plugins\align\changelog.tcmsagkey
- C:\far2\plugins\align\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\arclite\7z.sfx.tcmsagkey
- C:\far2\plugins\autowrap\wraprus.lng.tcmsagkey
- C:\far2\plugins\brackets\brackeng.hlf.tcmsagkey
- C:\far2\plugins\autowrap\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\arclite\7zsd.sfx.tcmsagkey
- C:\far2\plugins\arclite\arclite.map.tcmsagkey
- C:\far2\plugins\arclite\arclite_eng.hlf.tcmsagkey
- C:\far2\plugins\arclite\arclite_eng.lng.tcmsagkey
- C:\far2\plugins\arclite\arclite_rus.hlf.tcmsagkey
- C:\far2\plugins\arclite\arclite_rus.lng.tcmsagkey
- C:\far2\plugins\arclite\changelog.tcmsagkey
- C:\far2\plugins\arclite\decrypt-tcmsag-decrypt.hta
- C:\far2\plugins\autowrap\autowrap.map.tcmsagkey
- C:\far2\plugins\autowrap\changelog.tcmsagkey
- C:\far2\plugins\autowrap\wrapeng.lng.tcmsagkey
- C:\far2\plugins\arclite\7zcon.sfx.tcmsagkey
- C:\far2\plugins\arclite\7zs2con.sfx.tcmsagkey
- C:\totalcmd\language\wcmd_hun.mnu.tcmsagkey
Изменяет следующие файлы
- <Имя диска съемного носителя>:\correct.avi.tcmsag
- C:\far2\documentation\rus\bug_report.txt.tcmsag
- C:\far2\documentation\rus\arc_support.txt.tcmsag
- C:\far2\documentation\eng\techinfo.txt.tcmsag
- C:\far2\documentation\eng\plugins_review.txt.tcmsag
- C:\far2\documentation\eng\plugins_install.txt.tcmsag
- C:\far2\documentation\eng\far_faq.txt.tcmsag
- C:\far2\documentation\eng\bug_report.txt.tcmsag
- C:\far2\documentation\eng\arc_support.txt.tcmsag
- C:\far2\changelog_eng.tcmsag
- C:\far2\changelog.tcmsag
- C:\far2\addons\xlat\russian\descript.ion.tcmsag
- C:\far2\addons\xlat\descript.ion.tcmsag
- C:\far2\addons\shell\farhere.inf.tcmsag
- C:\far2\addons\shell\descript.ion.tcmsag
- C:\far2\addons\setup\descript.ion.tcmsag
- C:\far2\addons\readme.txt.tcmsag
- C:\far2\addons\macros\descript.ion.tcmsag
- C:\far2\addons\descript.ion.tcmsag
- C:\far2\addons\colors\descript.ion.tcmsag
- C:\far2\addons\colors\default_highlighting\descript.ion.tcmsag
- C:\far2\addons\colors\custom_highlighting\descript.ion.tcmsag
- <Имя диска съемного носителя>:\middaugh_keynote.pptx.tcmsag
- <Имя диска съемного носителя>:\samieee_obiee_presentation.pptx.tcmsag
- <Имя диска съемного носителя>:\toolbar.bmp.tcmsag
- <Имя диска съемного носителя>:\000814251_video_01.avi.tcmsag
- <Имя диска съемного носителя>:\join.avi.tcmsag
- D:\install.log.tcmsag
- C:\far2\documentation\rus\far_faq.txt.tcmsag
- C:\far2\documentation\rus\plugins_install.txt.tcmsag
Изменяет множество файлов.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '51.##.171.35':80
- '<LOCALNET>.1.1':445
- '<LOCALNET>.1.1':135
- '<LOCALNET>.1.1':139
TCP
Запросы HTTP POST
- http://51.##.171.35/fgate
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C vssadmin Delete Shadows /All /Quiet
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled No
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin DELETE SYSTEMSTATEBACKUP
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
- '%WINDIR%\syswow64\cmd.exe' /C wmic SHADOWCOPY /nointeractive
- '%WINDIR%\syswow64\wbem\wmic.exe' SHADOWCOPY /nointeractive
