Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\x.vbs
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\cmd.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\13.jpeg
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\region-north-karelia.jpg
- %HOMEPATH%\desktop\pushkin.jpeg
- %HOMEPATH%\desktop\parnas_01.jpeg
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\3.jpg
- %HOMEPATH%\desktop\210252809.jpeg
- %HOMEPATH%\desktop\2.jpeg
- %HOMEPATH%\desktop\13.jpg
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\tileimage.bmp
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\b.wnry
- <Текущая директория>\t.wnry
- <Текущая директория>\taskdl.exe
- <Текущая директория>\taskse.exe
- <Текущая директория>\u.wnry
- <Текущая директория>\00000000.pky
- <Текущая директория>\00000000.eky
- <Текущая директория>\00000000.res
- <Текущая директория>\@wanadecryptor@.exe
- <Текущая директория>\104601666292168.bat
- <Текущая директория>\@please_read_me@.txt
- %HOMEPATH%\desktop\13.jpeg.wncryt
- %HOMEPATH%\desktop\13.jpg.wncryt
- %HOMEPATH%\desktop\2.jpeg.wncryt
- %HOMEPATH%\desktop\210252809.jpeg.wncryt
- %HOMEPATH%\desktop\3.jpg.wncryt
- %HOMEPATH%\desktop\fi51.doc.wncryt
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx.wncryt
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx.wncryt
- <Текущая директория>\m.vbs
- %HOMEPATH%\desktop\hanni_umami_chapter.doc.wncryt
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx.wncryt
- %HOMEPATH%\desktop\lisp_success.doc.wncryt
- %HOMEPATH%\desktop\parnas_01.jpeg.wncryt
- %HOMEPATH%\desktop\pushkin.jpeg.wncryt
- <Текущая директория>\f.wnry
- %HOMEPATH%\desktop\region-north-karelia.jpg.wncryt
- %HOMEPATH%\desktop\@please_read_me@.txt
- <Текущая директория>\s.wnry
- %HOMEPATH%\desktop\@wanadecryptor@.exe
- <Текущая директория>\r.wnry
- <Текущая директория>\msg\m_turkish.wnry
- <Текущая директория>\c.wnry
- <Текущая директория>\msg\m_bulgarian.wnry
- <Текущая директория>\msg\m_chinese (simplified).wnry
- <Текущая директория>\msg\m_chinese (traditional).wnry
- <Текущая директория>\msg\m_croatian.wnry
- <Текущая директория>\msg\m_czech.wnry
- <Текущая директория>\msg\m_danish.wnry
- <Текущая директория>\msg\m_dutch.wnry
- <Текущая директория>\msg\m_english.wnry
- <Текущая директория>\msg\m_filipino.wnry
- <Текущая директория>\msg\m_finnish.wnry
- <Текущая директория>\msg\m_french.wnry
- <Текущая директория>\msg\m_german.wnry
- <Текущая директория>\msg\m_greek.wnry
- <Текущая директория>\msg\m_indonesian.wnry
- <Текущая директория>\msg\m_italian.wnry
- <Текущая директория>\msg\m_japanese.wnry
- <Текущая директория>\msg\m_korean.wnry
- <Текущая директория>\msg\m_latvian.wnry
- <Текущая директория>\msg\m_norwegian.wnry
- <Текущая директория>\msg\m_polish.wnry
- <Текущая директория>\msg\m_portuguese.wnry
- <Текущая директория>\msg\m_romanian.wnry
- <Текущая директория>\msg\m_russian.wnry
- <Текущая директория>\msg\m_slovak.wnry
- <Текущая директория>\msg\m_spanish.wnry
- <Текущая директория>\msg\m_swedish.wnry
- <Текущая директория>\msg\m_vietnamese.wnry
- <Текущая директория>\@wanadecryptor@.exe.lnk
Удаляет следующие файлы
- <Текущая директория>\m.vbs
Перемещает следующие файлы
- %HOMEPATH%\desktop\13.jpeg.wncryt в %HOMEPATH%\desktop\13.jpeg.wncry
- %HOMEPATH%\desktop\13.jpg.wncryt в %HOMEPATH%\desktop\13.jpg.wncry
- %HOMEPATH%\desktop\2.jpeg.wncryt в %HOMEPATH%\desktop\2.jpeg.wncry
- %HOMEPATH%\desktop\210252809.jpeg.wncryt в %HOMEPATH%\desktop\210252809.jpeg.wncry
- %HOMEPATH%\desktop\3.jpg.wncryt в %HOMEPATH%\desktop\3.jpg.wncry
- %HOMEPATH%\desktop\fi51.doc.wncryt в %HOMEPATH%\desktop\fi51.doc.wncry
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx.wncryt в %HOMEPATH%\desktop\file_p_00000000_1371597592.docx.wncry
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx.wncryt в %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx.wncry
- %HOMEPATH%\desktop\hanni_umami_chapter.doc.wncryt в %HOMEPATH%\desktop\hanni_umami_chapter.doc.wncry
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx.wncryt в %HOMEPATH%\desktop\holycrosschurchinstructions.docx.wncry
- %HOMEPATH%\desktop\lisp_success.doc.wncryt в %HOMEPATH%\desktop\lisp_success.doc.wncry
- %HOMEPATH%\desktop\parnas_01.jpeg.wncryt в %HOMEPATH%\desktop\parnas_01.jpeg.wncry
- %HOMEPATH%\desktop\pushkin.jpeg.wncryt в %HOMEPATH%\desktop\pushkin.jpeg.wncry
- %HOMEPATH%\desktop\region-north-karelia.jpg.wncryt в %HOMEPATH%\desktop\region-north-karelia.jpg.wncry
Изменяет следующие файлы
- %HOMEPATH%\desktop\13.jpeg
- %HOMEPATH%\desktop\13.jpg
- %HOMEPATH%\desktop\2.jpeg
- %HOMEPATH%\desktop\210252809.jpeg
- %HOMEPATH%\desktop\3.jpg
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\parnas_01.jpeg
- %HOMEPATH%\desktop\pushkin.jpeg
- %HOMEPATH%\desktop\region-north-karelia.jpg
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\taskdl.exe'
- '%WINDIR%\syswow64\cmd.exe' /c echo on error resume next:CreateObject("WScript.Shell").Run "<Полный путь к файлу>",1: >"%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs"' (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' +h .' (со скрытым окном)
- '%WINDIR%\syswow64\icacls.exe' . /grant Everyone:F /T /C /Q' (со скрытым окном)
- '<Текущая директория>\taskdl.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c 104601666292168.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c echo on error resume next:CreateObject("WScript.Shell").Run "<Полный путь к файлу>",1: >"%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs"
- '%WINDIR%\syswow64\attrib.exe' +h .
- '%WINDIR%\syswow64\icacls.exe' . /grant Everyone:F /T /C /Q
- '%WINDIR%\syswow64\cmd.exe' /c 104601666292168.bat
- '%WINDIR%\syswow64\cscript.exe' //nologo m.vbs
