Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Classes\.1C592F2A\shell\Open\command] '' = 'explorer.exe RecoveryManual.html'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\tree_view.htm
- <Имя диска съемного носителя>:\trivial-merge.htm
- <Имя диска съемного носителя>:\browse.htm
- <Имя диска съемного носителя>:\iisstart.htm
- <Имя диска съемного носителя>:\about.htm
- <Имя диска съемного носителя>:\ituneshelpunavailable.htm
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\advice_process.htm
- <Имя диска съемного носителя>:\ituneshelpunavailable.html
- <Имя диска съемного носителя>:\trivial-merge.html
- <Имя диска съемного носителя>:\iisstart.html
- <Имя диска съемного носителя>:\tree_view.html
- <Имя диска съемного носителя>:\api-hashmap.html
- <Имя диска съемного носителя>:\parnas_01.jpeg
- <Имя диска съемного носителя>:\3.jpeg
- <Имя диска съемного носителя>:\howto-index.html
- <Имя диска съемного носителя>:\browse.html
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\dial.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\recoverymanual.html
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\lisp_success.doc
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\168.jpeg
- <Имя диска съемного носителя>:\4f0bf7ff71f28.jpeg
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\~1328644.tmp
- <Текущая директория>\recoverymanual.html
- C:\kms\recoverymanual.html
- D:\recoverymanual.html
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\recoverymanual.html
Удаляет следующие файлы
- %TEMP%\~1328644.tmp
Изменяет следующие файлы
- C:\kms\kms_vl_all_aio_debug.log.readmanual.1c592f2a
- <Имя диска съемного носителя>:\trivial-merge.htm.readmanual.1c592f2a
- <Имя диска съемного носителя>:\tree_view.htm.readmanual.1c592f2a
- <Имя диска съемного носителя>:\advice_process.htm.readmanual.1c592f2a
- <Имя диска съемного носителя>:\alert.htm.readmanual.1c592f2a
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx.readmanual.1c592f2a
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx.readmanual.1c592f2a
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc.readmanual.1c592f2a
- <Имя диска съемного носителя>:\weeklysheet1215.doc.readmanual.1c592f2a
- <Имя диска съемного носителя>:\lisp_success.doc.readmanual.1c592f2a
- <Имя диска съемного носителя>:\applicantform_en.doc.readmanual.1c592f2a
- <Имя диска съемного носителя>:\ovp25012015.doc.readmanual.1c592f2a
- <Имя диска съемного носителя>:\testee.cer.readmanual.1c592f2a
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer.readmanual.1c592f2a
- <Имя диска съемного носителя>:\contosoroot_1.cer.readmanual.1c592f2a
- <Имя диска съемного носителя>:\pmd.cer.readmanual.1c592f2a
- <Имя диска съемного носителя>:\default.bmp.readmanual.1c592f2a
- <Имя диска съемного носителя>:\toolbar.bmp.readmanual.1c592f2a
- <Имя диска съемного носителя>:\dashborder_144.bmp.readmanual.1c592f2a
- <Имя диска съемного носителя>:\dashborder_192.bmp.readmanual.1c592f2a
- <Имя диска съемного носителя>:\dial.bmp.readmanual.1c592f2a
- <Имя диска съемного носителя>:\archer.avi.readmanual.1c592f2a
- <Имя диска съемного носителя>:\split.avi.readmanual.1c592f2a
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\owow32ww.cab.readmanual.1c592f2a
- <Имя диска съемного носителя>:\join.avi.readmanual.1c592f2a
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.xml.readmanual.1c592f2a
- <Имя диска съемного носителя>:\correct.avi.readmanual.1c592f2a
- D:\install.log.readmanual.1c592f2a
- <Имя диска съемного носителя>:\browse.htm.readmanual.1c592f2a
- <Имя диска съемного носителя>:\iisstart.htm.readmanual.1c592f2a
Изменяет множество файлов.
Подменяет следующие файлы
- C:\kms\KMS_VL_ALL_AIO_Debug.log
- <Имя диска съемного носителя>:\testEE.cer
- <Имя диска съемного носителя>:\SDKFailsafeEmulator.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\dashBorder_144.bmp
- C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\pkeyconfig-office.xrm-ms
- <Имя диска съемного носителя>:\dashBorder_192.bmp
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\split.avi
- C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\OWOW32WW.cab
- <Имя диска съемного носителя>:\join.avi
- C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\Office32WW.xml
- <Имя диска съемного носителя>:\correct.avi
- D:\install.log
- <Имя диска съемного носителя>:\dial.bmp
- C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\ProPsWW.cab
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -windowstyle hidden -c $mypid='556';[System.IO.File]::ReadAllText('%TEMP%\~1328644.tmp')|iex
