Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'mstray' = '<SYSTEM32>\mstray.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\@recoveryyourfiles@.exe
- <Имя диска съемного носителя>:\@readme@.txt
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\7dc7.tmp\7dc8.tmp\7dc9.bat
- %HOMEPATH%\links\@recoveryyourfiles@.exe
- %HOMEPATH%\music\@readme@.txt
- %HOMEPATH%\music\@recoveryyourfiles@.exe
- %HOMEPATH%\downloads\@readme@.txt
- %HOMEPATH%\downloads\@recoveryyourfiles@.exe
- %HOMEPATH%\pictures\@readme@.txt
- %HOMEPATH%\pictures\@recoveryyourfiles@.exe
- %HOMEPATH%\documents\@readme@.txt
- %HOMEPATH%\documents\@recoveryyourfiles@.exe
- D:\@readme@.txt
- D:\@recoveryyourfiles@.exe
- C:\users\public\desktop\@recoveryyourfiles@.exe
- C:\lzyvirus\@recoveryyourfiles@.exe
- <SYSTEM32>\mstray.exe
- C:\users\public\desktop\@readme@.txt
- %TEMP%\7dc7.tmp\background.jpg
- %TEMP%\7dc7.tmp\4c5r.tmp
- %TEMP%\7dc7.tmp\6n8e.tmp
- %TEMP%\7dc7.tmp\@readme@.txt
- %HOMEPATH%\links\@readme@.txt
- %TEMP%\8fb1.tmp\8fb2.tmp\8fb3.bat
Удаляет следующие файлы
- %TEMP%\7dc7.tmp\@readme@.txt
- %TEMP%\7dc7.tmp\6n8e.tmp
- %TEMP%\7dc7.tmp\4c5r.tmp
- %TEMP%\7dc7.tmp\background.jpg
- %TEMP%\7dc7.tmp\7dc8.tmp\7dc9.bat
Изменяет следующие файлы
- %APPDATA%\microsoft\windows\themes\transcodedwallpaper.jpg
Подменяет следующие файлы
- D:\$RECYCLE.BIN\S-1-5-21-3150914307-1777937420-491476919-1000\desktop.ini
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'Media Center Tray Applet' WindowName: ''
- ClassName: '' WindowName: 'View Available Networks'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\mstray.exe'
- 'C:\lzyvirus\@recoveryyourfiles@.exe'
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\7DC7.tmp\7DC8.tmp\7DC9.bat <Полный путь к файлу>"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\8FB1.tmp\8FB2.tmp\8FB3.bat <SYSTEM32>\mstray.exe"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\7DC7.tmp\7DC8.tmp\7DC9.bat <Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c tasklist|find /i "@RecoveryYourFiles@.exe"
- '<SYSTEM32>\timeout.exe' /t 3
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\8FB1.tmp\8FB2.tmp\8FB3.bat <SYSTEM32>\mstray.exe"
- '<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v "mstray" /t REG_SZ /d "<SYSTEM32>\mstray.exe" /f
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Desktop\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Pictures\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Videos\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Documents\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Favorites\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Links\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Downloads\*.*" /e /d everyone
- '<SYSTEM32>\cacls.exe' "%HOMEPATH%\Music\*.*" /e /d everyone
- '<SYSTEM32>\cmd.exe' /S /D /c" echo y"
- '<SYSTEM32>\reg.exe' delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v wtry /f
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\find.exe' /i "@RecoveryYourFiles@.exe"
