Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\1189.jpeg
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\ituneshelpunavailable.html
- %HOMEPATH%\desktop\ituneshelpunavailable.htm
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\adadsi.html
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\2.jpeg
- %HOMEPATH%\desktop\168.jpeg
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\trivial-merge.html
Изменения в файловой системе
Создает следующие файлы
- C:\users\default\how_to_recover_files.txt
- %HOMEPATH%\contacts\how_to_recover_files.txt
- %HOMEPATH%\desktop\how_to_recover_files.txt
- %HOMEPATH%\favorites\links\how_to_recover_files.txt
- %HOMEPATH%\favorites\links for united states\how_to_recover_files.txt
- %HOMEPATH%\favorites\microsoft websites\how_to_recover_files.txt
- %HOMEPATH%\favorites\msn websites\how_to_recover_files.txt
- %HOMEPATH%\favorites\windows live\how_to_recover_files.txt
- %HOMEPATH%\searches\how_to_recover_files.txt
Изменяет следующие файлы
- C:\users\default\ntuser.dat.log1
- %HOMEPATH%\favorites\windows live\windows live mail.url
- %HOMEPATH%\favorites\windows live\windows live gallery.url
- %HOMEPATH%\favorites\windows live\get windows live.url
- %HOMEPATH%\favorites\msn websites\msnbc news.url
- %HOMEPATH%\favorites\msn websites\msn.url
- %HOMEPATH%\favorites\msn websites\msn sports.url
- %HOMEPATH%\favorites\msn websites\msn money.url
- %HOMEPATH%\favorites\msn websites\msn entertainment.url
- %HOMEPATH%\favorites\msn websites\msn autos.url
- %HOMEPATH%\favorites\microsoft websites\microsoft store.url
- %HOMEPATH%\favorites\microsoft websites\microsoft at work.url
- %HOMEPATH%\favorites\microsoft websites\microsoft at home.url
- %HOMEPATH%\favorites\microsoft websites\ie site on microsoft.com.url
- %HOMEPATH%\favorites\microsoft websites\ie add-on site.url
- %HOMEPATH%\favorites\links for united states\usa.gov.url
- %HOMEPATH%\favorites\links for united states\gobiernousa.gov.url
- %HOMEPATH%\favorites\links\web slice gallery.url
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\adadsi.html
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\2.jpeg
- %HOMEPATH%\desktop\168.jpeg
- %HOMEPATH%\desktop\1189.jpeg
- %HOMEPATH%\contacts\user.contact
- %HOMEPATH%\favorites\windows live\windows live spaces.url
- %HOMEPATH%\searches\everywhere.search-ms
Изменяет множество файлов.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '<LOCALNET>.52.1':445
- '<LOCALNET>.52.1':139
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c wmic SHADOWCOPY DELETE /nointeractive
- '%WINDIR%\syswow64\cmd.exe' /c wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
- '%WINDIR%\syswow64\cmd.exe' /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0
- '%WINDIR%\syswow64\cmd.exe' /c wbadmin DELETE BACKUP -deleteOldest
- '%WINDIR%\syswow64\cmd.exe' /c wbadmin DELETE BACKUP -keepVersions:0
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled No
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
