Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>.exe' = '<Полный путь к файлу>�'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\\read_me_note.txt
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\advice_process.htm
- <Имя диска съемного носителя>:\ituneshelpunavailable.htm
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\about.htm
- <Имя диска съемного носителя>:\garden.htm
- <Имя диска съемного носителя>:\iisstart.htm
- <Имя диска съемного носителя>:\iisstart.html
- <Имя диска съемного носителя>:\ituneshelpunavailable.html
- <Имя диска съемного носителя>:\64bit_notes.htm
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\tileimage.bmp
Изменения в файловой системе
Создает следующие файлы
- C:\\read_me_note.txt
- %HOMEPATH%\documents\read_me_note.txt
- %HOMEPATH%\desktop\read_me_note.txt
- %HOMEPATH%\cookies\read_me_note.txt
- %HOMEPATH%\contacts\read_me_note.txt
- %HOMEPATH%\application data\read_me_note.txt
- %HOMEPATH%\appdata\read_me_note.txt
- %HOMEPATH%\read_me_note.txt
- %HOMEPATH%\documents\my music\read_me_note.txt
- C:\users\public\videos\sample videos\read_me_note.txt
- C:\users\public\recorded tv\read_me_note.txt
- C:\users\public\pictures\sample pictures\read_me_note.txt
- C:\users\public\music\sample music\read_me_note.txt
- C:\users\public\libraries\read_me_note.txt
- C:\users\public\favorites\read_me_note.txt
- C:\users\public\downloads\read_me_note.txt
- C:\users\public\documents\my videos\read_me_note.txt
- C:\users\public\recorded tv\sample media\read_me_note.txt
- %HOMEPATH%\local settings\read_me_note.txt
- %WINDIR%\read_me_note.txt
- %HOMEPATH%\downloads\read_me_note.txt
- %HOMEPATH%\templates\read_me_note.txt
- %HOMEPATH%\start menu\read_me_note.txt
- %HOMEPATH%\sendto\read_me_note.txt
- %HOMEPATH%\searches\read_me_note.txt
- %HOMEPATH%\saved games\read_me_note.txt
- %HOMEPATH%\recent\read_me_note.txt
- %HOMEPATH%\printhood\read_me_note.txt
- C:\users\public\documents\my pictures\read_me_note.txt
- %HOMEPATH%\nethood\read_me_note.txt
- %HOMEPATH%\links\read_me_note.txt
- %HOMEPATH%\favorites\windows live\read_me_note.txt
- %HOMEPATH%\favorites\msn websites\read_me_note.txt
- %HOMEPATH%\favorites\microsoft websites\read_me_note.txt
- %HOMEPATH%\favorites\links for united states\read_me_note.txt
- %HOMEPATH%\favorites\links\read_me_note.txt
- %HOMEPATH%\favorites\read_me_note.txt
- %HOMEPATH%\documents\my pictures\read_me_note.txt
- %HOMEPATH%\documents\my videos\read_me_note.txt
- C:\users\public\documents\my music\read_me_note.txt
- C:\users\default\cookies\read_me_note.txt
- C:\users\default\read_me_note.txt
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\read_me_note.txt
- C:\recovery\read_me_note.txt
- %ALLUSERSPROFILE%\read_me_note.txt
- %ProgramFiles(x86)%\read_me_note.txt
- %ProgramFiles%\read_me_note.txt
- C:\perflogs\admin\read_me_note.txt
- C:\users\default\appdata\read_me_note.txt
- C:\perflogs\read_me_note.txt
- C:\msocache\read_me_note.txt
- D:\$recycle.bin\s-1-5-21-3150914307-1777937420-491476919-1000\read_me_note.txt
- C:\kms\read_me_note.txt
- D:\$recycle.bin\read_me_note.txt
- C:\documents and settings\read_me_note.txt
- C:\$recycle.bin\read_me_note.txt
- D:\\read_me_note.txt
- C:\msocache\all users\read_me_note.txt
- C:\users\default\local settings\read_me_note.txt
- C:\users\public\desktop\read_me_note.txt
- C:\users\default\desktop\read_me_note.txt
- C:\users\public\read_me_note.txt
- C:\users\default\templates\read_me_note.txt
- C:\users\default\start menu\read_me_note.txt
- C:\users\default\sendto\read_me_note.txt
- C:\users\default\saved games\read_me_note.txt
- C:\users\default\recent\read_me_note.txt
- C:\users\default\printhood\read_me_note.txt
- C:\users\public\documents\read_me_note.txt
- C:\users\default\nethood\read_me_note.txt
- C:\users\default\links\read_me_note.txt
- C:\users\default\favorites\read_me_note.txt
- C:\users\default\downloads\read_me_note.txt
- C:\users\default\documents\my videos\read_me_note.txt
- C:\users\default\documents\my pictures\read_me_note.txt
- C:\users\default\documents\my music\read_me_note.txt
- C:\users\default\documents\read_me_note.txt
- C:\users\default\application data\read_me_note.txt
- <Текущая директория>\read_me_note.txt
Изменяет следующие файлы
- C:\kms\kms_vl_all_aio_debug.log
- C:\users\public\recorded tv\sample media\win7_scenic-demoshort_raw.wtv
- C:\users\public\music\sample music\sleep away.mp3
- C:\users\public\music\sample music\maid with the flaxen hair.mp3
- C:\users\public\music\sample music\kalimba.mp3
- C:\users\public\libraries\recordedtv.library-ms
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000002.regtrans-ms
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tm.blf
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000001.regtrans-ms
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\winre.wim
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\boot.sdi
- <Имя диска съемного носителя>:\64bit_notes.htm
- <Имя диска съемного носителя>:\ituneshelpunavailable.html
- <Имя диска съемного носителя>:\iisstart.html
- <Имя диска съемного носителя>:\iisstart.htm
- <Имя диска съемного носителя>:\garden.htm
- <Имя диска съемного носителя>:\about.htm
- <Имя диска съемного носителя>:\alert.htm
- <Имя диска съемного носителя>:\ituneshelpunavailable.htm
- <Имя диска съемного носителя>:\advice_process.htm
- <Имя диска съемного носителя>:\contosoroot_1.cer
- C:\kms\kms_vl_all_aio.cmd
- D:\install.log
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\toolbar.bmp
- %HOMEPATH%\contacts\user.contact
- %HOMEPATH%\favorites\links\web slice gallery.url
Изменяет множество файлов.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<Полный путь к файлу>' p r i v e t (со скрытым окном)
