Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\readme_howtorecover.txt
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /pid 788
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\wbengine.exe
- <SYSTEM32>\vds.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\svchost.exe
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- C:\readme_howtorecover.txt
- C:\users\public\videos\readme_howtorecover.txt
- C:\users\public\videos\sample videos\readme_howtorecover.txt
- %HOMEPATH%\readme_howtorecover.txt
- %HOMEPATH%\contacts\readme_howtorecover.txt
- %HOMEPATH%\desktop\readme_howtorecover.txt
- %HOMEPATH%\documents\readme_howtorecover.txt
- %HOMEPATH%\downloads\readme_howtorecover.txt
- %HOMEPATH%\favorites\readme_howtorecover.txt
- %HOMEPATH%\favorites\links\readme_howtorecover.txt
- C:\users\public\recorded tv\readme_howtorecover.txt
- C:\users\public\recorded tv\sample media\readme_howtorecover.txt
- %HOMEPATH%\favorites\links for united states\readme_howtorecover.txt
- %HOMEPATH%\links\readme_howtorecover.txt
- %HOMEPATH%\music\readme_howtorecover.txt
- %HOMEPATH%\pictures\readme_howtorecover.txt
- %HOMEPATH%\saved games\readme_howtorecover.txt
- %HOMEPATH%\searches\readme_howtorecover.txt
- %HOMEPATH%\videos\readme_howtorecover.txt
- <Текущая директория>\readme_howtorecover.txt
- C:\kms\readme_howtorecover.txt
- D:\readme_howtorecover.txt
- %HOMEPATH%\favorites\msn websites\readme_howtorecover.txt
- %HOMEPATH%\favorites\microsoft websites\readme_howtorecover.txt
- C:\users\public\pictures\sample pictures\readme_howtorecover.txt
- C:\users\public\pictures\readme_howtorecover.txt
- C:\users\public\music\sample music\readme_howtorecover.txt
- C:\perflogs\readme_howtorecover.txt
- C:\perflogs\admin\readme_howtorecover.txt
- C:\recovery\readme_howtorecover.txt
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\readme_howtorecover.txt
- C:\users\readme_howtorecover.txt
- C:\users\default\readme_howtorecover.txt
- C:\users\default\desktop\readme_howtorecover.txt
- C:\users\default\documents\readme_howtorecover.txt
- C:\users\default\downloads\readme_howtorecover.txt
- C:\users\default\favorites\readme_howtorecover.txt
- C:\msocache\readme_howtorecover.txt
- C:\users\default\links\readme_howtorecover.txt
- C:\users\default\pictures\readme_howtorecover.txt
- C:\users\default\saved games\readme_howtorecover.txt
- C:\users\default\videos\readme_howtorecover.txt
- C:\users\public\readme_howtorecover.txt
- C:\users\public\desktop\readme_howtorecover.txt
- C:\users\public\documents\readme_howtorecover.txt
- C:\users\public\downloads\readme_howtorecover.txt
- C:\users\public\favorites\readme_howtorecover.txt
- C:\users\public\libraries\readme_howtorecover.txt
- C:\users\public\music\readme_howtorecover.txt
- C:\users\default\music\readme_howtorecover.txt
- D:\$recycle.bin\readme_howtorecover.txt
- D:\$recycle.bin\s-1-5-21-3691498038-2086406363-2140527554-1000\readme_howtorecover.txt
Изменяет следующие файлы
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\winre.wim.ra_lock
- C:\users\public\videos\sample videos\wildlife.wmv.ra_lock
- C:\users\public\recorded tv\sample media\win7_scenic-demoshort_raw.wtv.ra_lock
- C:\users\public\pictures\sample pictures\tulips.jpg.ra_lock
- C:\users\public\pictures\sample pictures\lighthouse.jpg.ra_lock
- C:\users\public\pictures\sample pictures\penguins.jpg.ra_lock
- C:\users\public\pictures\sample pictures\koala.jpg.ra_lock
- C:\users\public\pictures\sample pictures\desert.jpg.ra_lock
- C:\users\public\pictures\sample pictures\jellyfish.jpg.ra_lock
- C:\users\public\pictures\sample pictures\hydrangeas.jpg.ra_lock
- C:\users\public\pictures\sample pictures\chrysanthemum.jpg.ra_lock
- C:\users\public\music\sample music\sleep away.mp3.ra_lock
- C:\users\public\music\sample music\maid with the flaxen hair.mp3.ra_lock
- %HOMEPATH%\contacts\user.contact.ra_lock
- C:\users\public\music\sample music\kalimba.mp3.ra_lock
- C:\users\public\desktop\steam.lnk.ra_lock
- C:\users\public\desktop\firefox.lnk.ra_lock
- C:\users\public\desktop\mozilla thunderbird.lnk.ra_lock
- C:\users\public\desktop\opera.lnk.ra_lock
- C:\users\public\desktop\acrobat reader dc.lnk.ra_lock
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000002.regtrans-ms.ra_lock
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000001.regtrans-ms.ra_lock
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tm.blf.ra_lock
- C:\users\default\ntuser.dat.log1.ra_lock
- C:\users\default\ntuser.dat.log2.ra_lock
- C:\users\default\ntuser.dat.log.ra_lock
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\boot.sdi.ra_lock
- C:\users\public\libraries\recordedtv.library-ms.ra_lock
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer.ra_lock
Изменяет множество файлов.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
UDP
- 'localhost':54343
- 'localhost':64141
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: '' WindowName: 'View Available Networks'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-WmiObject -Class win32_service -Filter \"name = 'eventlog'\" | select -exp ProcessId"
- '<SYSTEM32>\wevtutil.exe' cl security"
- '<SYSTEM32>\cmd.exe' -Command "/c start wevtutil cl security"
- '<SYSTEM32>\wevtutil.exe' cl system"
- '<SYSTEM32>\cmd.exe' -Command "/c start wevtutil cl system"
- '<SYSTEM32>\wevtutil.exe' cl Application"
- '<SYSTEM32>\cmd.exe' -Command "/c start wevtutil cl Application"
- '<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP"
- '<SYSTEM32>\cmd.exe' -Command "/c start wbadmin DELETE SYSTEMSTATEBACKUP"
- '<SYSTEM32>\vds.exe'
- '<SYSTEM32>\cmd.exe' -Command "/c start wevtutil cl setup"
- '<SYSTEM32>\wbengine.exe'
- '<SYSTEM32>\cmd.exe' -Command "/c start wbadmin delete catalog -quiet"
- '<SYSTEM32>\cmd.exe' -Command "/c start bcdedit /set {default} recoveryenabled no"
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures"
- '<SYSTEM32>\cmd.exe' -Command "/c start bcdedit /set {default} bootstatuspolicy ignoreallfailures"
- '<SYSTEM32>\wbem\wmic.exe' SHADOWCOPY /nointeractive"
- '<SYSTEM32>\cmd.exe' -Command "/c start wmic SHADOWCOPY /nointeractive"
- '<SYSTEM32>\cmd.exe' -Command "/c start wmic shadowcopy delete /nointeractive"
- '<SYSTEM32>\cmd.exe' -Command "/c start vssadmin delete shadows /all /quiet"
- '<SYSTEM32>\cmd.exe' -Command "/c start taskkill /f /pid 788 "
- '<SYSTEM32>\wbadmin.exe' delete catalog -quiet"
- '<SYSTEM32>\wevtutil.exe' cl setup"
