Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\garden.htm
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\adadsi.html
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\tileimage.bmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\lczx.txt
- %TEMP%\raw
- %HOMEPATH%\desktop\readme.txt
- %HOMEPATH%\documents\readme.txt
- %HOMEPATH%\pictures\readme.txt
- %HOMEPATH%\music\readme.txt
Перемещает следующие файлы
- %TEMP%\raw в %HOMEPATH%\contacts\user.contact.lczx
Подменяет следующие файлы
- %TEMP%\raw
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '18#.#15.113.39':80
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet (со скрытым окном)
