Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'SecurityUpdate' = '%TEMP%\D5B63B.exe'
Вредоносные функции
Запускает большое число процессов
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\d5b63b.exe
- %HOMEPATH%\cookies\readme_for_unlock.txt
- %HOMEPATH%\contacts\readme_for_unlock.txt
- %HOMEPATH%\application data\readme_for_unlock.txt
- %HOMEPATH%\readme_for_unlock.txt
- C:\users\public\videos\sample videos\readme_for_unlock.txt
- C:\users\public\recorded tv\sample media\readme_for_unlock.txt
- %HOMEPATH%\documents\readme_for_unlock.txt
- %HOMEPATH%\desktop\readme_for_unlock.txt
- C:\users\public\music\sample music\readme_for_unlock.txt
- C:\users\public\libraries\readme_for_unlock.txt
- C:\users\public\favorites\readme_for_unlock.txt
- C:\users\public\downloads\readme_for_unlock.txt
- C:\users\public\documents\my videos\readme_for_unlock.txt
- C:\users\public\documents\my pictures\readme_for_unlock.txt
- C:\users\public\recorded tv\readme_for_unlock.txt
- C:\users\default\application data\readme_for_unlock.txt
- %HOMEPATH%\documents\my music\readme_for_unlock.txt
- %HOMEPATH%\sendto\readme_for_unlock.txt
- %HOMEPATH%\searches\readme_for_unlock.txt
- %HOMEPATH%\saved games\readme_for_unlock.txt
- %HOMEPATH%\recent\readme_for_unlock.txt
- %HOMEPATH%\printhood\readme_for_unlock.txt
- %HOMEPATH%\nethood\readme_for_unlock.txt
- %HOMEPATH%\links\readme_for_unlock.txt
- %HOMEPATH%\favorites\windows live\readme_for_unlock.txt
- %HOMEPATH%\favorites\msn websites\readme_for_unlock.txt
- %HOMEPATH%\favorites\microsoft websites\readme_for_unlock.txt
- %HOMEPATH%\favorites\links for united states\readme_for_unlock.txt
- %HOMEPATH%\favorites\links\readme_for_unlock.txt
- %HOMEPATH%\favorites\readme_for_unlock.txt
- %HOMEPATH%\downloads\readme_for_unlock.txt
- %HOMEPATH%\documents\my videos\readme_for_unlock.txt
- C:\users\public\documents\my music\readme_for_unlock.txt
- C:\users\public\pictures\sample pictures\readme_for_unlock.txt
- C:\users\public\documents\readme_for_unlock.txt
- C:\users\public\desktop\readme_for_unlock.txt
- C:\users\public\readme_for_unlock.txt
- C:\documents and settings\readme_for_unlock.txt
- C:\recovery\readme_for_unlock.txt
- nul
- C:\perflogs\admin\readme_for_unlock.txt
- C:\perflogs\readme_for_unlock.txt
- C:\msocache\readme_for_unlock.txt
- C:\kms\readme_for_unlock.txt
- C:\readme_for_unlock.txt
- <Текущая директория>\readme_for_unlock.txt
- a:\readme_for_unlock.txt
- %TEMP%\readme_for_unlock.txt
- %TEMP%\readme_for_unlock.txt.crypt
- %TEMP%\6u7u7p8u3.tmp
- <Текущая директория>\3t4w9m6y5.tmp
- %ALLUSERSPROFILE%\microsoft\settings\3l9q9m9g6.bat
- %HOMEPATH%\start menu\readme_for_unlock.txt
- %HOMEPATH%\documents\my pictures\readme_for_unlock.txt
- C:\users\default\readme_for_unlock.txt
- C:\users\default\desktop\readme_for_unlock.txt
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\readme_for_unlock.txt
- C:\users\default\templates\readme_for_unlock.txt
- C:\users\default\start menu\readme_for_unlock.txt
- C:\users\default\sendto\readme_for_unlock.txt
- C:\users\default\saved games\readme_for_unlock.txt
- C:\users\default\recent\readme_for_unlock.txt
- C:\users\default\printhood\readme_for_unlock.txt
- C:\users\default\nethood\readme_for_unlock.txt
- C:\users\default\links\readme_for_unlock.txt
- C:\users\default\favorites\readme_for_unlock.txt
- C:\users\default\downloads\readme_for_unlock.txt
- C:\users\default\documents\my videos\readme_for_unlock.txt
- C:\users\default\documents\my pictures\readme_for_unlock.txt
- C:\users\default\documents\my music\readme_for_unlock.txt
- C:\users\default\documents\readme_for_unlock.txt
- C:\users\default\cookies\readme_for_unlock.txt
- %HOMEPATH%\templates\readme_for_unlock.txt
Удаляет следующие файлы
- <Текущая директория>\3t4w9m6y5.tmp
Изменяет следующие файлы
- C:\kms\kms_vl_all_aio.cmd.dnt
- C:\users\public\pictures\sample pictures\koala.jpg.dnt
- C:\users\public\pictures\sample pictures\jellyfish.jpg.dnt
- C:\users\public\pictures\sample pictures\hydrangeas.jpg.dnt
- C:\users\public\pictures\sample pictures\desktop.ini.dnt
- C:\users\public\pictures\sample pictures\desert.jpg.dnt
- C:\users\public\pictures\sample pictures\chrysanthemum.jpg.dnt
- C:\users\public\pictures\desktop.ini.dnt
- C:\users\public\music\sample music\sleep away.mp3.dnt
- C:\users\public\music\sample music\maid with the flaxen hair.mp3.dnt
- C:\users\public\music\sample music\kalimba.mp3.dnt
- C:\users\public\music\sample music\desktop.ini.dnt
- C:\users\public\music\desktop.ini.dnt
- C:\users\public\libraries\desktop.ini.dnt
- C:\users\public\downloads\desktop.ini.dnt
- C:\users\public\documents\desktop.ini.dnt
- C:\users\public\desktop.ini.dnt
- C:\users\public\desktop\steam.lnk.dnt
- C:\users\public\desktop\opera.lnk.dnt
- C:\users\public\desktop\mozilla thunderbird.lnk.dnt
- C:\users\public\desktop\firefox.lnk.dnt
- C:\users\public\desktop\desktop.ini.dnt
- C:\users\public\desktop\acrobat reader dc.lnk.dnt
- C:\users\desktop.ini.dnt
- C:\users\default\ntuser.dat.log1.dnt
- C:\users\default\ntuser.dat.dnt
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winre.wim.dnt
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\boot.sdi.dnt
- C:\users\public\pictures\sample pictures\lighthouse.jpg.dnt
- C:\users\public\pictures\sample pictures\penguins.jpg.dnt
Изменяет множество файлов.
Подменяет следующие файлы
- <Текущая директория>\3t4w9m6y5.tmp
- %HOMEPATH%\Searches\Everywhere.search-ms
- %HOMEPATH%\Searches\Indexed Locations.search-ms
Самоудаляется.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%TEMP%\d5b63b.exe'
- '%TEMP%\d5b63b.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Settings\3l9Q9m9g6.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' 䈀@/c START /b "" cmd /c DEL "<Полный путь к файлу>" &EXIT' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c net config server /autodisconnect:-1' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Settings\3l9Q9m9g6.bat
- '<SYSTEM32>\cmd.exe' /c reg add hklm\Software\Microsoft\Windows\CurrentVersion\Run /v SecurityUpdate /t REG_EXPAND_SZ /d %TEMP%\D5B63B.exe /f
- '<SYSTEM32>\cmd.exe' 䈀@/c START /b "" cmd /c DEL "<Полный путь к файлу>" &EXIT
- '<SYSTEM32>\reg.exe' add hklm\Software\Microsoft\Windows\CurrentVersion\Run /v SecurityUpdate /t REG_EXPAND_SZ /d %TEMP%\D5B63B.exe /f
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\findstr.exe' /B /L /I /C:D5B63B.exe
- '<SYSTEM32>\cmd.exe' /c DEL "<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c net config server /autodisconnect:-1
- '<SYSTEM32>\net.exe' config server /autodisconnect:-1
- '<SYSTEM32>\net1.exe' config server /autodisconnect:-1
- '<SYSTEM32>\timeout.exe' /T 1 /NOBREAK
