Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'MSFEEditor' = '"<Полный путь к файлу>" e'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\adobe acrobat update task
- <SYSTEM32>\tasks\adobe acrobat update task.inprocess
- <SYSTEM32>\tasks\!!!how_to_decrypt!!!.mht
- <SYSTEM32>\tasks\opera scheduled autoupdate 1694565166
- <SYSTEM32>\tasks\opera scheduled autoupdate 1694565166.inprocess
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\testcertificate.cer.inprocess
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\testee.cer.inprocess
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.inprocess
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\pmd.cer.inprocess
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\contoso_1.cer.inprocess
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\contosoroot.cer.inprocess
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\tileimage.bmp.inprocess
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dialmap.bmp.inprocess
- <Имя диска съемного носителя>:\dialmap.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp.inprocess
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dashborder_120.bmp.inprocess
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\coffee.bmp.inprocess
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\join.avi.inprocess
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\!!!how_to_decrypt!!!.mht
- <Имя диска съемного носителя>:\split.avi.inprocess
- <Имя диска съемного носителя>:\february_catalogue__2015.doc.inprocess
- <Имя диска съемного носителя>:\cveuropeo.doc
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\key.file
- g:\boot\de-de\!!!how_to_decrypt!!!.mht
- g:\boot\el-gr\!!!how_to_decrypt!!!.mht
- g:\boot\en-us\!!!how_to_decrypt!!!.mht
- g:\boot\es-es\!!!how_to_decrypt!!!.mht
- g:\boot\fi-fi\!!!how_to_decrypt!!!.mht
- g:\boot\fonts\!!!how_to_decrypt!!!.mht
- g:\boot\fr-fr\!!!how_to_decrypt!!!.mht
- g:\boot\hu-hu\!!!how_to_decrypt!!!.mht
- g:\boot\it-it\!!!how_to_decrypt!!!.mht
- g:\boot\ja-jp\!!!how_to_decrypt!!!.mht
- g:\boot\ko-kr\!!!how_to_decrypt!!!.mht
- %HOMEPATH%\!!!how_to_decrypt!!!.mht
- g:\boot\nb-no\!!!how_to_decrypt!!!.mht
- g:\boot\pl-pl\!!!how_to_decrypt!!!.mht
- g:\boot\pt-br\!!!how_to_decrypt!!!.mht
- g:\boot\pt-pt\!!!how_to_decrypt!!!.mht
- g:\boot\ru-ru\!!!how_to_decrypt!!!.mht
- g:\boot\sv-se\!!!how_to_decrypt!!!.mht
- g:\boot\tr-tr\!!!how_to_decrypt!!!.mht
- g:\boot\zh-cn\!!!how_to_decrypt!!!.mht
- g:\boot\zh-hk\!!!how_to_decrypt!!!.mht
- g:\boot\zh-tw\!!!how_to_decrypt!!!.mht
- C:\users\public\libraries\!!!how_to_decrypt!!!.mht
- %HOMEPATH%\contacts\!!!how_to_decrypt!!!.mht
- g:\boot\cs-cz\!!!how_to_decrypt!!!.mht
- g:\boot\da-dk\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- %HOMEPATH%\desktop\readme_lock.txt
- g:\$recycle.bin\s-1-5-21-3150914307-1777937420-491476919-1000\desktop.ini
- C:\!!!how_to_decrypt!!!.mht
- C:\users\public\desktop\!!!how_to_decrypt!!!.mht
- D:\!!!how_to_decrypt!!!.mht
- C:\kms\!!!how_to_decrypt!!!.mht
- g:\!!!how_to_decrypt!!!.mht
- g:\bootsect.bak.inprocess
- g:\boot\!!!how_to_decrypt!!!.mht
- %ProgramFiles%\mozilla firefox\!!!how_to_decrypt!!!.mht
- %ProgramFiles%\mozilla thunderbird\!!!how_to_decrypt!!!.mht
- %HOMEPATH%\searches\!!!how_to_decrypt!!!.mht
- g:\boot\nl-nl\!!!how_to_decrypt!!!.mht
- C:\users\default\!!!how_to_decrypt!!!.mht
- %WINDIR%\panther\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- C:\msocache\all users\{90140000-00a1-0409-1000-0000000ff1ce}-c\!!!how_to_decrypt!!!.mht
- %HOMEPATH%\desktop\!!!how_to_decrypt!!!.mht
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\!!!how_to_decrypt!!!.mht
- <SYSTEM32>\config\!!!how_to_decrypt!!!.mht
Присваивает атрибут 'скрытый' для следующих файлов
- g:\bootsect.bak.1btc
Перемещает следующие системные файлы
- %WINDIR%\panther\setupinfo в %WINDIR%\panther\setupinfo.inprocess
- %WINDIR%\panther\setupinfo.inprocess в %WINDIR%\panther\setupinfo.1btc
- <SYSTEM32>\config\bcd-template в <SYSTEM32>\config\bcd-template.inprocess
- <SYSTEM32>\config\bcd-template.inprocess в <SYSTEM32>\config\bcd-template.1btc
- <SYSTEM32>\config\components в <SYSTEM32>\config\components.inprocess
- <SYSTEM32>\config\components.inprocess в <SYSTEM32>\config\components.1btc
Перемещает следующие файлы
- g:\bootsect.bak.inprocess в g:\bootsect.bak.1btc
- %ProgramFiles%\mozilla firefox\precomplete в %ProgramFiles%\mozilla firefox\precomplete.inprocess
- %ProgramFiles%\mozilla firefox\precomplete.inprocess в %ProgramFiles%\mozilla firefox\precomplete.1btc
- %ProgramFiles%\mozilla thunderbird\precomplete в %ProgramFiles%\mozilla thunderbird\precomplete.inprocess
- %ProgramFiles%\mozilla firefox\removed-files в %ProgramFiles%\mozilla firefox\removed-files.inprocess
- %ProgramFiles%\mozilla firefox\removed-files.inprocess в %ProgramFiles%\mozilla firefox\removed-files.1btc
- %ProgramFiles%\mozilla thunderbird\precomplete.inprocess в %ProgramFiles%\mozilla thunderbird\precomplete.1btc
- %ProgramFiles%\mozilla thunderbird\removed-files в %ProgramFiles%\mozilla thunderbird\removed-files.inprocess
- %ProgramFiles%\mozilla thunderbird\removed-files.inprocess в %ProgramFiles%\mozilla thunderbird\removed-files.1btc
Изменяет следующие файлы
- C:\kms\kms_vl_all_aio.cmd.inprocess
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\winre.wim.inprocess
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000001.regtrans-ms.inprocess
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tm.blf.inprocess
- C:\users\default\ntuser.dat.log1.inprocess
- C:\users\default\ntuser.dat.log.inprocess
- C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\boot.sdi.inprocess
- <Имя диска съемного носителя>:\cveuropeo.doc.inprocess
- %ProgramFiles%\mozilla thunderbird\removed-files.inprocess
- <Имя диска съемного носителя>:\february_catalogue__2015.doc.inprocess
- %ProgramFiles%\mozilla thunderbird\precomplete.inprocess
- %ProgramFiles%\mozilla firefox\removed-files.inprocess
- %ProgramFiles%\mozilla firefox\precomplete.inprocess
- <Имя диска съемного носителя>:\testcertificate.cer.inprocess
- <Имя диска съемного носителя>:\testee.cer.inprocess
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.inprocess
- <Имя диска съемного носителя>:\pmd.cer.inprocess
- <Имя диска съемного носителя>:\contoso_1.cer.inprocess
- <Имя диска съемного носителя>:\contosoroot.cer.inprocess
- <Имя диска съемного носителя>:\tileimage.bmp.inprocess
- <Имя диска съемного носителя>:\dialmap.bmp.inprocess
- <Имя диска съемного носителя>:\dashborder_192.bmp.inprocess
- <Имя диска съемного носителя>:\dashborder_120.bmp.inprocess
- <Имя диска съемного носителя>:\coffee.bmp.inprocess
- <Имя диска съемного носителя>:\join.avi.inprocess
- C:\kms\kms_vl_all_aio_debug.log.inprocess
- <Имя диска съемного носителя>:\split.avi.inprocess
- D:\install.log.inprocess
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000002.regtrans-ms.inprocess
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excellr.cab.inprocess
Изменяет множество файлов.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP
- '<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP -deleteOldest
- '<SYSTEM32>\wbem\wmic.exe' SHADOWCOPY /nointeractive
