Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /im cmd.exe
- '<SYSTEM32>\taskkill.exe' /F /im taskmgr.exe
- '<SYSTEM32>\taskkill.exe' /F /im explorer.exe
Запускает большое число процессов
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\default\appdata\roaming\microsoft\internet explorer\quick launch\desktop.ini.rans
- C:\users\public\desktop\firefox.lnk.rans
- C:\users\public\desktop\mozilla thunderbird.lnk.rans
- C:\users\public\desktop\opera.lnk.rans
- C:\users\public\desktop\steam.lnk.rans
- C:\users\public\desktop.ini.rans
- C:\users\public\documents\desktop.ini.rans
- C:\users\public\downloads\desktop.ini.rans
- C:\users\public\libraries\desktop.ini.rans
- C:\users\public\libraries\recordedtv.library-ms.rans
- C:\users\public\music\desktop.ini.rans
- C:\users\public\music\sample music\desktop.ini.rans
- C:\users\public\music\sample music\kalimba.mp3.rans
- C:\users\public\music\sample music\maid with the flaxen hair.mp3.rans
- C:\users\public\pictures\desktop.ini.rans
- C:\users\public\videos\sample videos\desktop.ini.rans
- C:\users\public\pictures\sample pictures\chrysanthemum.jpg.rans
- C:\users\public\pictures\sample pictures\desert.jpg.rans
- C:\users\public\pictures\sample pictures\desktop.ini.rans
- C:\users\public\pictures\sample pictures\hydrangeas.jpg.rans
- C:\users\public\pictures\sample pictures\jellyfish.jpg.rans
- C:\users\public\pictures\sample pictures\koala.jpg.rans
- C:\users\public\pictures\sample pictures\lighthouse.jpg.rans
- C:\users\public\pictures\sample pictures\penguins.jpg.rans
- C:\users\public\pictures\sample pictures\tulips.jpg.rans
- C:\users\public\recorded tv\desktop.ini.rans
- C:\users\public\recorded tv\sample media\desktop.ini.rans
- C:\users\public\recorded tv\sample media\win7_scenic-demoshort_raw.wtv.rans
- C:\users\public\videos\desktop.ini.rans
- C:\users\public\desktop\desktop.ini.rans
- C:\users\public\music\sample music\sleep away.mp3.rans
- C:\users\public\desktop\acrobat reader dc.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\desktop.ini.rans
- C:\users\default\appdata\roaming\microsoft\internet explorer\quick launch\shows desktop.lnk.rans
- C:\users\default\appdata\roaming\microsoft\internet explorer\quick launch\window switcher.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\sendto\compressed (zipped) folder.zfsendtotarget.rans
- C:\users\default\appdata\roaming\microsoft\windows\sendto\desktop (create shortcut).desklink.rans
- C:\users\default\appdata\roaming\microsoft\windows\sendto\desktop.ini.rans
- C:\users\default\appdata\roaming\microsoft\windows\sendto\fax recipient.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\sendto\mail recipient.mapimail.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\desktop.ini.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\ease of access.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\magnify.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\narrator.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\on-screen keyboard.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\command prompt.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\notepad.lnk.rans
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000002.regtrans-ms.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\run.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\computer.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\control panel.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\desktop.ini.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\private character editor.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\accessories\windows explorer.lnk.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\maintenance\desktop.ini.rans
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\maintenance\help.lnk.rans
- C:\users\default\ntuser.dat.rans
- C:\users\default\ntuser.dat.log.rans
- C:\users\default\ntuser.dat.log1.rans
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tm.blf.rans
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000001.regtrans-ms.rans
- C:\users\desktop.ini.rans
- C:\users\public\videos\sample videos\wildlife.wmv.rans
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c taskkill /F /im cmd.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /F /im taskmgr.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /F /im explorer.exe
