Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\svchost.exe
- %APPDATA%\windowsupdate.exe
Удаляет следующие файлы
- %APPDATA%\svchost.exe
Изменяет следующие файлы
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\boot.sdi.crypta
- %HOMEPATH%\favorites\microsoft websites\microsoft at home.url.crypta
- %HOMEPATH%\favorites\links for united states\usa.gov.url.crypta
- %HOMEPATH%\favorites\links for united states\gobiernousa.gov.url.crypta
- %HOMEPATH%\favorites\links\web slice gallery.url.crypta
- %HOMEPATH%\contacts\user.contact.crypta
- %HOMEPATH%\desktop\4f0bf7ff71f28.jpg.crypta
- %HOMEPATH%\desktop\2.jpg.crypta
- %HOMEPATH%\desktop\2.jpeg.crypta
- %HOMEPATH%\desktop\168.jpeg.crypta
- %HOMEPATH%\desktop\1189.jpeg.crypta
- %HOMEPATH%\desktop\13.jpg.crypta
- C:\users\public\pictures\sample pictures\chrysanthemum.jpg.crypta
- C:\users\public\recorded tv\sample media\win7_scenic-demoshort_raw.wtv.crypta
- C:\users\public\pictures\sample pictures\desert.jpg.crypta
- C:\users\public\pictures\sample pictures\jellyfish.jpg.crypta
- C:\users\public\pictures\sample pictures\lighthouse.jpg.crypta
- C:\users\public\pictures\sample pictures\hydrangeas.jpg.crypta
- C:\users\public\pictures\sample pictures\penguins.jpg.crypta
- C:\users\public\music\sample music\kalimba.mp3.crypta
- C:\users\public\music\sample music\maid with the flaxen hair.mp3.crypta
- C:\users\public\music\sample music\sleep away.mp3.crypta
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000001.regtrans-ms.crypta
- C:\users\public\libraries\recordedtv.library-ms.crypta
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tm.blf.crypta
- C:\users\default\ntuser.dat.log1.crypta
- C:\users\default\ntuser.dat{016888bd-6c6f-11de-8d1d-001e0bcde3ec}.tmcontainer00000000000000000002.regtrans-ms.crypta
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\winre.wim.crypta
- %HOMEPATH%\favorites\microsoft websites\ie add-on site.url.crypta
- %HOMEPATH%\favorites\microsoft websites\ie site on microsoft.com.url.crypta
Изменяет множество файлов.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Создает и запускает на исполнение
- '%APPDATA%\svchost.exe'
- '%APPDATA%\windowsupdate.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' owsUpdate.exe/c START /b "" cmd /c DEL "%APPDATA%\svchost.exe" &EXIT (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c DEL "%APPDATA%\svchost.exe"
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin.exe delete shadows /all /quiet (со скрытым окном)
