Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\9049abd9fe550a6f.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\#9049abd9fe550a6f.txt
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\9049abd9fe550a6f.ico
- C:\#9049abd9fe550a6f.txt
- C:\documents and settings\#9049abd9fe550a6f.txt
- C:\kms\#9049abd9fe550a6f.txt
- C:\perflogs\#9049abd9fe550a6f.txt
- C:\perflogs\admin\#9049abd9fe550a6f.txt
- %ProgramFiles%\#9049abd9fe550a6f.txt
- %ProgramFiles%\dvd maker\#9049abd9fe550a6f.txt
- D:\#9049abd9fe550a6f.txt
- %ProgramFiles%\dvd maker\en-us\#9049abd9fe550a6f.txt
Перемещает следующие файлы
- %ProgramFiles%\desktop.ini в %ProgramFiles%\desktop.ini.[hackjoker2002@gmail.com].proton
Изменяет следующие файлы
- C:\kms\kms_vl_all_aio.cmd
- C:\kms\kms_vl_all_aio_debug.log
- %ProgramFiles%\desktop.ini
- D:\install.log
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled No' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c wmic SHADOWCOPY /nointeractive' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled No
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
- '%WINDIR%\syswow64\cmd.exe' /c wmic SHADOWCOPY /nointeractive
- '%WINDIR%\syswow64\wbem\wmic.exe' SHADOWCOPY /nointeractive
