Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'PtwlDkH6xQ' = '<Полный путь к файлу>'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\30838n77-readme.txt
Вредоносные функции
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\1189.jpeg
- %HOMEPATH%\desktop\trivial-merge.htm
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\pushkin.jpeg
- %HOMEPATH%\desktop\parnas_01.jpg
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\ituneshelpunavailable.html
- %HOMEPATH%\desktop\trivial-merge.html
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\alert.htm
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\3.jpg
- %HOMEPATH%\desktop\210252809.jpeg
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- C:\30838n77-readme.txt
- C:\users\public\pictures\30838n77-readme.txt
- C:\users\public\recorded tv\30838n77-readme.txt
- C:\users\public\videos\30838n77-readme.txt
- %HOMEPATH%\contacts\30838n77-readme.txt
- %HOMEPATH%\desktop\30838n77-readme.txt
- %HOMEPATH%\documents\30838n77-readme.txt
- %HOMEPATH%\downloads\30838n77-readme.txt
- %HOMEPATH%\favorites\30838n77-readme.txt
- %HOMEPATH%\links\30838n77-readme.txt
- %HOMEPATH%\music\30838n77-readme.txt
- %HOMEPATH%\pictures\30838n77-readme.txt
- %HOMEPATH%\saved games\30838n77-readme.txt
- %HOMEPATH%\searches\30838n77-readme.txt
- %HOMEPATH%\videos\30838n77-readme.txt
- %ProgramFiles%\microsoft sql server compact edition\v3.5\desktop\30838n77-readme.txt
- C:\users\public\music\sample music\30838n77-readme.txt
- C:\users\public\pictures\sample pictures\30838n77-readme.txt
- C:\users\public\recorded tv\sample media\30838n77-readme.txt
- C:\users\public\videos\sample videos\30838n77-readme.txt
- %HOMEPATH%\favorites\links\30838n77-readme.txt
- %HOMEPATH%\favorites\links for united states\30838n77-readme.txt
- %HOMEPATH%\favorites\microsoft websites\30838n77-readme.txt
- %HOMEPATH%\favorites\msn websites\30838n77-readme.txt
- C:\users\public\music\30838n77-readme.txt
- %HOMEPATH%\favorites\windows live\30838n77-readme.txt
- C:\users\public\libraries\30838n77-readme.txt
- C:\users\public\downloads\30838n77-readme.txt
- C:\kms\30838n77-readme.txt
- %ProgramFiles%\30838n77-readme.txt
- %ProgramFiles(x86)%\30838n77-readme.txt
- <Текущая директория>\30838n77-readme.txt
- C:\recovery\30838n77-readme.txt
- C:\users\30838n77-readme.txt
- %ProgramFiles%\microsoft sql server compact edition\30838n77-readme.txt
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\30838n77-readme.txt
- C:\users\default\30838n77-readme.txt
- C:\users\public\30838n77-readme.txt
- %HOMEPATH%\30838n77-readme.txt
- %ProgramFiles%\microsoft sql server compact edition\v3.5\30838n77-readme.txt
- C:\users\default\desktop\30838n77-readme.txt
- C:\users\default\documents\30838n77-readme.txt
- C:\users\default\downloads\30838n77-readme.txt
- C:\users\default\favorites\30838n77-readme.txt
- C:\users\default\links\30838n77-readme.txt
- C:\users\default\music\30838n77-readme.txt
- C:\users\default\pictures\30838n77-readme.txt
- C:\users\default\saved games\30838n77-readme.txt
- C:\users\default\videos\30838n77-readme.txt
- C:\users\public\desktop\30838n77-readme.txt
- C:\users\public\documents\30838n77-readme.txt
- C:\users\public\favorites\30838n77-readme.txt
- D:\30838n77-readme.txt
Изменяет следующие файлы
- C:\kms\kms_vl_all_aio_debug.log
- %HOMEPATH%\favorites\msn websites\msn sports.url
- %HOMEPATH%\favorites\msn websites\msn money.url
- %HOMEPATH%\favorites\msn websites\msn entertainment.url
- %HOMEPATH%\favorites\msn websites\msn autos.url
- %HOMEPATH%\favorites\microsoft websites\microsoft store.url
- %HOMEPATH%\favorites\microsoft websites\microsoft at work.url
- %HOMEPATH%\favorites\microsoft websites\microsoft at home.url
- %HOMEPATH%\favorites\microsoft websites\ie site on microsoft.com.url
- %HOMEPATH%\favorites\microsoft websites\ie add-on site.url
- %HOMEPATH%\favorites\links for united states\usa.gov.url
- %HOMEPATH%\favorites\links for united states\gobiernousa.gov.url
- %HOMEPATH%\favorites\links\web slice gallery.url
- C:\users\public\recorded tv\sample media\win7_scenic-demoshort_raw.wtv
- C:\users\public\music\sample music\sleep away.mp3
- C:\users\public\music\sample music\maid with the flaxen hair.mp3
- C:\users\public\music\sample music\kalimba.mp3
- %HOMEPATH%\searches\indexed locations.search-ms
- %HOMEPATH%\searches\everywhere.search-ms
- %HOMEPATH%\contacts\user.contact
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\3.jpg
- %HOMEPATH%\desktop\210252809.jpeg
- %HOMEPATH%\desktop\1189.jpeg
- C:\users\public\libraries\recordedtv.library-ms
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\winre.wim
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\boot.sdi
- %HOMEPATH%\favorites\msn websites\msn.url
- %HOMEPATH%\favorites\msn websites\msnbc news.url
Изменяет множество файлов.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
