Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\svhost
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\svhost.exe
- C:\far2\plugins\farcmds\how_to_recover_data.html
- C:\far2\plugins\filecase\how_to_recover_data.html
- C:\far2\plugins\ftp\how_to_recover_data.html
- C:\far2\plugins\ftp\lib\how_to_recover_data.html
- C:\far2\plugins\hlfviewer\how_to_recover_data.html
- C:\far2\plugins\macroview\how_to_recover_data.html
- C:\far2\plugins\network\how_to_recover_data.html
- C:\far2\plugins\proclist\how_to_recover_data.html
- C:\far2\plugins\tmppanel\how_to_recover_data.html
- C:\far2\pluginsdk\headers.c\how_to_recover_data.html
- C:\far2\pluginsdk\headers.pas\how_to_recover_data.html
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\how_to_recover_data.html
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.es\how_to_recover_data.html
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.fr\how_to_recover_data.html
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-00a1-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\access.en-us\how_to_recover_data.html
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\how_to_recover_data.html
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\how_to_recover_data.html
- C:\far2\plugins\emenu\how_to_recover_data.html
- C:\totalcmd\how_to_recover_data.html
- C:\far2\plugins\editcase\how_to_recover_data.html
- C:\far2\plugins\compare\how_to_recover_data.html
- z:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini
- C:\far2\addons\colors\custom_highlighting\how_to_recover_data.html
- D:\how_to_recover_data.html
- z:\boot\bcd.log1
- z:\boot\how_to_recover_data.html
- z:\boot\bcd.log2
- z:\boot\bootstat.dat
- C:\far2\addons\colors\default_highlighting\how_to_recover_data.html
- z:\bootmgr
- z:\how_to_recover_data.html
- z:\bootsect.bak
- z:\xeldz
- C:\far2\addons\colors\how_to_recover_data.html
- C:\far2\addons\how_to_recover_data.html
- C:\far2\addons\macros\how_to_recover_data.html
- C:\far2\addons\setup\how_to_recover_data.html
- C:\far2\addons\shell\how_to_recover_data.html
- C:\far2\addons\xlat\how_to_recover_data.html
- C:\far2\addons\xlat\russian\how_to_recover_data.html
- C:\far2\how_to_recover_data.html
- C:\far2\documentation\eng\how_to_recover_data.html
- C:\far2\documentation\rus\how_to_recover_data.html
- C:\far2\encyclopedia\how_to_recover_data.html
- C:\far2\encyclopedia\tap\how_to_recover_data.html
- C:\far2\fexcept\how_to_recover_data.html
- C:\far2\plugins\align\how_to_recover_data.html
- C:\far2\plugins\arclite\how_to_recover_data.html
- C:\far2\plugins\autowrap\how_to_recover_data.html
- C:\far2\plugins\brackets\how_to_recover_data.html
- C:\far2\plugins\drawline\how_to_recover_data.html
- C:\totalcmd\language\how_to_recover_data.html
Перемещает следующие файлы
- z:\boot\bcd.log1 в z:\boot\bcd.log1.marlock04
- z:\boot\bcd.log2 в z:\boot\bcd.log2.marlock04
- z:\boot\bootstat.dat в z:\boot\bootstat.dat.marlock04
- z:\bootmgr в z:\bootmgr.marlock04
- z:\bootsect.bak в z:\bootsect.bak.marlock04
- z:\xeldz в z:\xeldz.marlock04
Изменяет следующие файлы
- C:\far2\addons\colors\custom_highlighting\black_from_fonarev.reg
- C:\far2\addons\colors\default_highlighting\import_colors.bat
- C:\far2\addons\colors\default_highlighting\hell.reg
- C:\far2\addons\colors\default_highlighting\greenmile.reg
- C:\far2\addons\colors\default_highlighting\farcolors242.reg
- C:\far2\addons\colors\default_highlighting\dn_like.reg
- C:\far2\addons\colors\default_highlighting\descript.ion
- C:\far2\addons\colors\default_highlighting\colors_from_sadovoj.reg
- C:\far2\addons\colors\default_highlighting\colors_from_gernichenko.reg
- C:\far2\addons\colors\default_highlighting\colors_from_admin_essp_ru.reg
- C:\far2\addons\colors\default_highlighting\black_from_myodov.reg
- C:\far2\addons\colors\default_highlighting\black_from_july.reg
- C:\far2\addons\colors\default_highlighting\black_from_fonarev.reg
- C:\far2\addons\colors\custom_highlighting\vaxcolors.reg
- C:\far2\addons\colors\custom_highlighting\rodion_doroshkevich.reg
- C:\far2\addons\colors\custom_highlighting\nc5pal2.reg
- C:\far2\addons\colors\custom_highlighting\import_colors.bat
- C:\far2\addons\colors\custom_highlighting\hell.reg
- C:\far2\addons\colors\custom_highlighting\greenmile.reg
- C:\far2\addons\colors\custom_highlighting\farcolors242.reg
- C:\far2\addons\colors\custom_highlighting\dn_like.reg
- C:\far2\addons\colors\custom_highlighting\descript.ion
- C:\far2\addons\colors\custom_highlighting\colors_from_sadovoj.reg
- C:\far2\addons\colors\custom_highlighting\colors_from_gernichenko.reg
- C:\far2\addons\colors\custom_highlighting\colors_from_admin_essp_ru.reg
- C:\far2\addons\colors\custom_highlighting\black_from_myodov.reg
- C:\far2\addons\colors\custom_highlighting\black_from_july.reg
- D:\install.log
- C:\far2\addons\colors\default_highlighting\nc5pal2.reg
- C:\far2\addons\colors\default_highlighting\rodion_doroshkevich.reg
Изменяет множество файлов.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '<LOCALNET>.68.1':445
- '<LOCALNET>.68.1':139
Другое
Создает и запускает на исполнение
- '%APPDATA%\svhost.exe'
- '%APPDATA%\svhost.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\wbem\wmic.exe' SHADOWCOPY /nointeractive
- '<SYSTEM32>\taskeng.exe' {AE596083-A2B5-4621-A456-7B2EA903AF42} S-1-5-21-1960123792-2022915161-3775307078-1001:uiyxgjvnb\user:Interactive:[1]
