Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\000814251_video_01.avi
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\ituneshelpunavailable.html
- %HOMEPATH%\desktop\ituneshelpunavailable.htm
- %HOMEPATH%\desktop\iisstart.html
- %HOMEPATH%\desktop\howto-index.html
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\alert.htm
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\tree_view.htm
- %HOMEPATH%\desktop\trivial-merge.html
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\lczx.txt
- %TEMP%\raw
- %HOMEPATH%\desktop\readme.txt
- %HOMEPATH%\documents\readme.txt
- %HOMEPATH%\pictures\readme.txt
- %HOMEPATH%\music\readme.txt
Перемещает следующие файлы
- %TEMP%\raw в %HOMEPATH%\contacts\user.contact.lczx
Подменяет следующие файлы
- %TEMP%\raw
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- '18#.#15.113.39':80
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe delete shadows /all /quiet (со скрытым окном)
