Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\startup.bat
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
- <SYSTEM32>\wlrmdr.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\ituneshelpunavailable.htm
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\5b0a.tmp\vacumm.bat
- %TEMP%\vacumm\files\desktop\ovp25012015.doc
- %TEMP%\vacumm\files\desktop\pmd.cer
- %TEMP%\vacumm\files\desktop\sdksampleunprivdeveloper.cer
- %TEMP%\vacumm\files\desktop\tcm851ax32.exe
- %TEMP%\vacumm\files\desktop\telegram.lnk
- %TEMP%\vacumm\files\desktop\toolbar.bmp
- %TEMP%\vacumm\files\desktop\uep_form_786_bulletin_1726i602.doc
- %TEMP%\vacumm\files\desktop\winmine.exe
- %TEMP%\vacumm\decrypt.bat
- %TEMP%\svlog6\del.bat
- %TEMP%\vacumm\note.bat
- %TEMP%\vacumm\noy.vbs
- %TEMP%\vacumm\f11.vbs
- %TEMP%\vacumm\cpu.bat
- %TEMP%\vacumm\tk.vbs
- %TEMP%\vacumm\exist.vbs
- %TEMP%\vacumm\files\desktop\ituneshelpunavailable.htm
- %TEMP%\vacumm\files\desktop\weeklysheet1215.doc
- %TEMP%\vacumm\files\desktop\google chrome.lnk
- %TEMP%\vacumm\files\desktop\browse.htm
- %TEMP%\vacumm\files\desktop\508softwareandos.doc
- %TEMP%\vacumm\files\desktop\64bit_notes.htm
- %TEMP%\vacumm\files\desktop\about.html
- %TEMP%\vacumm\files\desktop\adhd_and_obesity.docx
- %TEMP%\vacumm\files\desktop\advice_process.htm
- %TEMP%\vacumm\files\desktop\aoc_saq_d_v3_merchant.docx
- %TEMP%\vacumm\files\desktop\applicantform_en.doc
- %TEMP%\vacumm\files\desktop\browse.html
- %TEMP%\vacumm\files\desktop\february_catalogue__2015.doc
- %TEMP%\vacumm\files\desktop\chromesetup.exe
- %TEMP%\vacumm\files\desktop\coffee.bmp
- %TEMP%\vacumm\files\desktop\dashborder_192.bmp
- %TEMP%\vacumm\files\desktop\dashborder_96.bmp
- %TEMP%\vacumm\files\desktop\default.bmp
- %TEMP%\vacumm\files\desktop\delete.avi
- %TEMP%\vacumm\files\desktop\dial.bmp
- %TEMP%\vacumm\files\desktop\glidescope_review_rev_010.docx
- %TEMP%\vacumm\key\key.txt
Удаляет следующие файлы
- %TEMP%\5b0a.tmp\vacumm.bat
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\5B0A.tmp\vacumm.bat" <Полный путь к файлу>"
- '<SYSTEM32>\mode.com' 15,1
- '<SYSTEM32>\shutdown.exe' -r -c "Ruckyou Nick YY" /t 03
Пытается завершить работу операционной системы Windows.
