Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'SecurityUpdate' = '%TEMP%\695550.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\readme_for_unlock.txt
Вредоносные функции
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\695550.exe
- %HOMEPATH%\documents\my pictures\readme_for_unlock.txt
- %HOMEPATH%\documents\my music\readme_for_unlock.txt
- %HOMEPATH%\documents\readme_for_unlock.txt
- %HOMEPATH%\desktop\readme_for_unlock.txt
- %HOMEPATH%\cookies\readme_for_unlock.txt
- %HOMEPATH%\contacts\readme_for_unlock.txt
- %HOMEPATH%\application data\readme_for_unlock.txt
- %HOMEPATH%\readme_for_unlock.txt
- C:\users\public\videos\sample videos\readme_for_unlock.txt
- C:\users\public\recorded tv\sample media\readme_for_unlock.txt
- C:\users\public\recorded tv\readme_for_unlock.txt
- C:\users\public\pictures\sample pictures\readme_for_unlock.txt
- C:\users\public\music\sample music\readme_for_unlock.txt
- C:\users\public\libraries\readme_for_unlock.txt
- C:\users\public\favorites\readme_for_unlock.txt
- %HOMEPATH%\documents\my videos\readme_for_unlock.txt
- %HOMEPATH%\favorites\readme_for_unlock.txt
- D:\$recycle.bin\readme_for_unlock.txt
- %HOMEPATH%\favorites\links\readme_for_unlock.txt
- D:\readme_for_unlock.txt
- nul
- %HOMEPATH%\templates\readme_for_unlock.txt
- %HOMEPATH%\start menu\readme_for_unlock.txt
- %HOMEPATH%\sendto\readme_for_unlock.txt
- %HOMEPATH%\searches\readme_for_unlock.txt
- %HOMEPATH%\saved games\readme_for_unlock.txt
- %HOMEPATH%\recent\readme_for_unlock.txt
- %HOMEPATH%\printhood\readme_for_unlock.txt
- %HOMEPATH%\nethood\readme_for_unlock.txt
- %HOMEPATH%\links\readme_for_unlock.txt
- %HOMEPATH%\favorites\windows live\readme_for_unlock.txt
- %HOMEPATH%\favorites\msn websites\readme_for_unlock.txt
- %HOMEPATH%\favorites\microsoft websites\readme_for_unlock.txt
- %HOMEPATH%\favorites\links for united states\readme_for_unlock.txt
- C:\users\public\downloads\readme_for_unlock.txt
- %HOMEPATH%\downloads\readme_for_unlock.txt
- C:\users\public\documents\my videos\readme_for_unlock.txt
- C:\users\default\desktop\readme_for_unlock.txt
- C:\users\default\application data\readme_for_unlock.txt
- C:\users\default\readme_for_unlock.txt
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\readme_for_unlock.txt
- C:\recovery\readme_for_unlock.txt
- <Текущая директория>\readme_for_unlock.txt
- C:\perflogs\admin\readme_for_unlock.txt
- C:\perflogs\readme_for_unlock.txt
- C:\msocache\readme_for_unlock.txt
- C:\kms\readme_for_unlock.txt
- C:\documents and settings\readme_for_unlock.txt
- C:\readme_for_unlock.txt
- a:\readme_for_unlock.txt
- %TEMP%\readme_for_unlock.txt
- <Текущая директория>\0b9w7h3b4.tmp
- %ALLUSERSPROFILE%\microsoft\settings\3p4y6y0n0.bat
- C:\users\default\cookies\readme_for_unlock.txt
- C:\users\default\documents\readme_for_unlock.txt
- C:\users\public\documents\my music\readme_for_unlock.txt
- C:\users\default\documents\my music\readme_for_unlock.txt
- C:\users\public\documents\readme_for_unlock.txt
- C:\users\public\desktop\readme_for_unlock.txt
- C:\users\public\readme_for_unlock.txt
- C:\users\default\templates\readme_for_unlock.txt
- C:\users\default\start menu\readme_for_unlock.txt
- C:\users\default\sendto\readme_for_unlock.txt
- C:\users\default\saved games\readme_for_unlock.txt
- C:\users\default\recent\readme_for_unlock.txt
- C:\users\default\printhood\readme_for_unlock.txt
- C:\users\default\nethood\readme_for_unlock.txt
- C:\users\default\links\readme_for_unlock.txt
- C:\users\default\favorites\readme_for_unlock.txt
- C:\users\default\downloads\readme_for_unlock.txt
- C:\users\default\documents\my videos\readme_for_unlock.txt
- C:\users\default\documents\my pictures\readme_for_unlock.txt
- C:\users\public\documents\my pictures\readme_for_unlock.txt
- D:\$recycle.bin\s-1-5-21-1238866942-1249195528-555854008-1000\readme_for_unlock.txt
Удаляет следующие файлы
- <Текущая директория>\0b9w7h3b4.tmp
Изменяет следующие файлы
- C:\kms\kms_vl_all_aio.cmd.dnt
- C:\users\public\pictures\sample pictures\jellyfish.jpg.dnt
- C:\users\public\pictures\sample pictures\hydrangeas.jpg.dnt
- C:\users\public\pictures\sample pictures\desktop.ini.dnt
- C:\users\public\pictures\sample pictures\desert.jpg.dnt
- C:\users\public\pictures\sample pictures\chrysanthemum.jpg.dnt
- C:\users\public\pictures\desktop.ini.dnt
- C:\users\public\music\sample music\sleep away.mp3.dnt
- C:\users\public\music\sample music\maid with the flaxen hair.mp3.dnt
- C:\users\public\music\sample music\kalimba.mp3.dnt
- C:\users\public\music\sample music\desktop.ini.dnt
- C:\users\public\music\desktop.ini.dnt
- C:\users\public\libraries\desktop.ini.dnt
- C:\users\public\pictures\sample pictures\koala.jpg.dnt
- C:\users\public\downloads\desktop.ini.dnt
- C:\users\public\desktop.ini.dnt
- C:\users\public\desktop\steam.lnk.dnt
- C:\users\public\desktop\opera.lnk.dnt
- C:\users\public\desktop\mozilla thunderbird.lnk.dnt
- C:\users\public\desktop\firefox.lnk.dnt
- C:\users\public\desktop\desktop.ini.dnt
- C:\users\public\desktop\acrobat reader dc.lnk.dnt
- C:\users\desktop.ini.dnt
- C:\users\default\ntuser.dat.log1.dnt
- C:\users\default\ntuser.dat.dnt
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winre.wim.dnt
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\boot.sdi.dnt
- C:\users\public\documents\desktop.ini.dnt
- C:\users\public\pictures\sample pictures\lighthouse.jpg.dnt
Изменяет множество файлов.
Подменяет следующие файлы
- %HOMEPATH%\Searches\Everywhere.search-ms
- %HOMEPATH%\Searches\Indexed Locations.search-ms
- %ALLUSERSPROFILE%\Microsoft\Search\Data\Applications\Windows\MSS.log
- %ALLUSERSPROFILE%\microsoft\search\data\applications\windows\msstmp.log
Самоудаляется.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%TEMP%\695550.exe'
- '%TEMP%\695550.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Settings\3p4Y6y0n0.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c START /b "" cmd /c DEL "<Полный путь к файлу>" &EXIT' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c net config server /autodisconnect:-1' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Settings\3p4Y6y0n0.bat
- '<SYSTEM32>\cmd.exe' /c reg add hklm\Software\Microsoft\Windows\CurrentVersion\Run /v SecurityUpdate /t REG_EXPAND_SZ /d %TEMP%\695550.exe /f
- '<SYSTEM32>\cmd.exe' /c START /b "" cmd /c DEL "<Полный путь к файлу>" &EXIT
- '<SYSTEM32>\reg.exe' add hklm\Software\Microsoft\Windows\CurrentVersion\Run /v SecurityUpdate /t REG_EXPAND_SZ /d %TEMP%\695550.exe /f
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\cmd.exe' /c DEL "<Полный путь к файлу>"
- '<SYSTEM32>\findstr.exe' /B /L /I /C:695550.exe
- '<SYSTEM32>\cmd.exe' /c net config server /autodisconnect:-1
- '<SYSTEM32>\searchprotocolhost.exe' Global\UsGthrFltPipeMssGthrPipe6_ Global\UsGthrCtrlFltPipeMssGthrPipe6 1 -2147483646 "Software\Microsoft\Windows Search" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT; MS Search 4.0 Robot)" "%...
- '<SYSTEM32>\searchfilterhost.exe' 0 508 512 520 65536 516
- '<SYSTEM32>\net.exe' config server /autodisconnect:-1
- '<SYSTEM32>\net1.exe' config server /autodisconnect:-1
- '<SYSTEM32>\timeout.exe' /T 1 /NOBREAK
