Trojan.BadRabbit.11

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\1189.jpeg
%HOMEPATH%\desktop\join.avi
%HOMEPATH%\desktop\dashborder_120.bmp
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\pushkin.jpeg
%HOMEPATH%\desktop\split.avi
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\210252809.jpeg
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\tileimage.bmp

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\ed01ebfbc9eb5bbea545af4d01bf5f1071661840480439c6e5babe8e080e41aa.exe
%APPDATA%\u.wnry
%APPDATA%\00000000.pky
%APPDATA%\00000000.eky
%APPDATA%\00000000.res
%APPDATA%\@wanadecryptor@.exe
%APPDATA%\57671748147050.bat
%APPDATA%\cry.exe
%APPDATA%\@please_read_me@.txt
%HOMEPATH%\desktop\1189.jpeg.wncryt
%HOMEPATH%\desktop\210252809.jpeg.wncryt
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx.wncryt
%HOMEPATH%\desktop\cveuropeo.doc.wncryt
%APPDATA%\tcping.exe
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx.wncryt
%HOMEPATH%\desktop\hanni_umami_chapter.doc.wncryt
%HOMEPATH%\desktop\holycrosschurchinstructions.docx.wncryt
%HOMEPATH%\desktop\lisp_success.doc.wncryt
%TEMP%\bomb.exe
%TEMP%\asena.exe
%TEMP%\a76e49df84ba2a7b33e8ea959995b5e6faecb90d551ef169d8272ce9042c35a5.exe
%TEMP%\4363463463464363463463463.exe
%APPDATA%\@wanadecryptor@.exe.lnk
%HOMEPATH%\desktop\archer.avi.wncryt
%HOMEPATH%\desktop\@please_read_me@.txt
%HOMEPATH%\desktop\@wanadecryptor@.exe
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc.wncryt
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.wncryt
%HOMEPATH%\desktop\pushkin.jpeg.wncryt
%HOMEPATH%\desktop\ovp25012015.doc.wncryt
%APPDATA%\m.vbs
%APPDATA%\paping.exe
%TEMP%\cryptowall.exe
%APPDATA%\taskse.exe
%APPDATA%\taskdl.exe
%APPDATA%\t.wnry
%APPDATA%\b.wnry
%APPDATA%\c.wnry
%APPDATA%\msg\m_bulgarian.wnry
%APPDATA%\msg\m_chinese (simplified).wnry
%APPDATA%\msg\m_chinese (traditional).wnry
%APPDATA%\msg\m_croatian.wnry
%APPDATA%\msg\m_czech.wnry
%APPDATA%\msg\m_danish.wnry
%APPDATA%\msg\m_dutch.wnry
%APPDATA%\msg\m_english.wnry
%APPDATA%\msg\m_filipino.wnry
%APPDATA%\msg\m_finnish.wnry
%APPDATA%\msg\m_french.wnry
%APPDATA%\msg\m_german.wnry
%APPDATA%\msg\m_greek.wnry
%APPDATA%\msg\m_indonesian.wnry
%APPDATA%\msg\m_italian.wnry
%APPDATA%\r.wnry
%APPDATA%\msg\m_vietnamese.wnry
%APPDATA%\msg\m_turkish.wnry
%APPDATA%\msg\m_swedish.wnry
%APPDATA%\msg\m_spanish.wnry
%APPDATA%\msg\m_slovak.wnry
%APPDATA%\msg\m_romanian.wnry
%APPDATA%\msg\m_russian.wnry
%APPDATA%\msg\m_portuguese.wnry
%APPDATA%\msg\m_polish.wnry
%APPDATA%\msg\m_norwegian.wnry
%APPDATA%\msg\m_latvian.wnry
%APPDATA%\msg\m_korean.wnry
%APPDATA%\msg\m_japanese.wnry
%APPDATA%\s.wnry
%TEMP%\d6caf64597bd5e0803f7d0034e73195e83dae370450a2e890b82f77856830167.exe

Удаляет следующие файлы

%APPDATA%\m.vbs

Перемещает следующие файлы

%HOMEPATH%\desktop\1189.jpeg.wncryt в %HOMEPATH%\desktop\1189.jpeg.wncry
%HOMEPATH%\desktop\210252809.jpeg.wncryt в %HOMEPATH%\desktop\210252809.jpeg.wncry
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx.wncryt в %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx.wncry
%HOMEPATH%\desktop\cveuropeo.doc.wncryt в %HOMEPATH%\desktop\cveuropeo.doc.wncry
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx.wncryt в %HOMEPATH%\desktop\file_p_00000000_1371597592.docx.wncry
%HOMEPATH%\desktop\hanni_umami_chapter.doc.wncryt в %HOMEPATH%\desktop\hanni_umami_chapter.doc.wncry
%HOMEPATH%\desktop\holycrosschurchinstructions.docx.wncryt в %HOMEPATH%\desktop\holycrosschurchinstructions.docx.wncry
%HOMEPATH%\desktop\lisp_success.doc.wncryt в %HOMEPATH%\desktop\lisp_success.doc.wncry
%HOMEPATH%\desktop\ovp25012015.doc.wncryt в %HOMEPATH%\desktop\ovp25012015.doc.wncry
%HOMEPATH%\desktop\pushkin.jpeg.wncryt в %HOMEPATH%\desktop\pushkin.jpeg.wncry
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.wncryt в %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.wncry
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc.wncryt в %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc.wncry
%HOMEPATH%\desktop\archer.avi.wncryt в %HOMEPATH%\desktop\archer.avi.wncry

Изменяет следующие файлы

%HOMEPATH%\desktop\1189.jpeg
%HOMEPATH%\desktop\210252809.jpeg
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\pushkin.jpeg
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
%HOMEPATH%\desktop\archer.avi

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%APPDATA%\ed01ebfbc9eb5bbea545af4d01bf5f1071661840480439c6e5babe8e080e41aa.exe'
'%APPDATA%\taskdl.exe'
'%APPDATA%\cry.exe'
'%APPDATA%\tcping.exe'
'%APPDATA%\paping.exe'
'%TEMP%\4363463463464363463463463.exe'
'%TEMP%\a76e49df84ba2a7b33e8ea959995b5e6faecb90d551ef169d8272ce9042c35a5.exe'
'%TEMP%\asena.exe'
'%TEMP%\bomb.exe'
'%TEMP%\cryptowall.exe'

Запускает на исполнение

'%WINDIR%\syswow64\attrib.exe' +h . (со скрытым окном)
'%WINDIR%\syswow64\icacls.exe' . /grant Everyone:F /T /C /Q (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c 57671748147050.bat (со скрытым окном)
'%WINDIR%\syswow64\cscript.exe' //nologo m.vbs
'%APPDATA%\ed01ebfbc9eb5bbea545af4d01bf5f1071661840480439c6e5babe8e080e41aa.exe' (со скрытым окном)
'%APPDATA%\taskdl.exe' (со скрытым окном)
'%APPDATA%\cry.exe' (со скрытым окном)
'%APPDATA%\tcping.exe' (со скрытым окном)
'%APPDATA%\paping.exe' (со скрытым окном)
'%TEMP%\4363463463464363463463463.exe' (со скрытым окном)
'%TEMP%\a76e49df84ba2a7b33e8ea959995b5e6faecb90d551ef169d8272ce9042c35a5.exe' (со скрытым окном)
'%TEMP%\asena.exe' (со скрытым окном)
'%TEMP%\bomb.exe' (со скрытым окном)
'%TEMP%\cryptowall.exe' (со скрытым окном)