Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\!!restore-my-file-kavva.txt
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\dial.bmp
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\508softwareandos.doc
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\lisp_success.doc
- <Имя диска съемного носителя>:\cveuropeo.doc
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\documents\.c3680868c.ico
- C:\!!restore-my-file-kavva.txt
- C:\\kms\!!restore-my-file-kavva.txt
- C:\\nxnx\!!restore-my-file-kavva.txt
- C:\\users\!!restore-my-file-kavva.txt
- C:\\users\public\music\!!restore-my-file-kavva.txt
- C:\\users\public\documents\!!restore-my-file-kavva.txt
- C:\\users\public\!!restore-my-file-kavva.txt
- C:\\users\public\downloads\!!restore-my-file-kavva.txt
- C:\\users\public\pictures\!!restore-my-file-kavva.txt
- C:\\users\public\music\sample music\!!restore-my-file-kavva.txt
- C:\\users\public\music\sample music\maid with the flaxen hair.mp3.c3680868c
- C:\\users\public\music\sample music\kalimba.mp3.c3680868c
- C:\\users\public\music\sample music\sleep away.mp3.c3680868c
- C:\\users\public\pictures\sample pictures\!!restore-my-file-kavva.txt
- C:\\users\public\recorded tv\!!restore-my-file-kavva.txt
- C:\\users\public\videos\!!restore-my-file-kavva.txt
- C:\\users\public\recorded tv\sample media\!!restore-my-file-kavva.txt
- C:\\users\public\videos\sample videos\!!restore-my-file-kavva.txt
- C:\\users\user\documents\!!restore-my-file-kavva.txt
- C:\\users\user\downloads\!!restore-my-file-kavva.txt
- C:\\users\user\favorites\!!restore-my-file-kavva.txt
- C:\\users\user\!!restore-my-file-kavva.txt
- C:\\users\user\contacts\!!restore-my-file-kavva.txt
- C:\\users\user\favorites\links for united states\!!restore-my-file-kavva.txt
- C:\\users\user\favorites\links\!!restore-my-file-kavva.txt
- C:\\users\user\desktop\!!restore-my-file-kavva.txt
- C:\\users\public\pictures\sample pictures\chrysanthemum.jpg.c3680868c
- C:\\users\public\pictures\sample pictures\lighthouse.jpg.c3680868c
- C:\\users\user\favorites\microsoft websites\!!restore-my-file-kavva.txt
- C:\\users\user\favorites\msn websites\!!restore-my-file-kavva.txt
- C:\\users\public\pictures\sample pictures\koala.jpg.c3680868c
- C:\\users\public\pictures\sample pictures\hydrangeas.jpg.c3680868c
- C:\\users\public\pictures\sample pictures\desert.jpg.c3680868c
- C:\\users\public\pictures\sample pictures\tulips.jpg.c3680868c
- C:\\users\public\pictures\sample pictures\jellyfish.jpg.c3680868c
- C:\\users\public\pictures\sample pictures\penguins.jpg.c3680868c
- D:\!!restore-my-file-kavva.txt
- C:\\users\user\favorites\windows live\!!restore-my-file-kavva.txt
- C:\\users\public\videos\sample videos\wildlife.wmv.c3680868c
- C:\\users\user\links\!!restore-my-file-kavva.txt
- C:\\users\user\videos\!!restore-my-file-kavva.txt
- C:\\users\public\recorded tv\sample media\win7_scenic-demoshort_raw.wtv.c3680868c
- C:\\users\user\searches\!!restore-my-file-kavva.txt
- C:\\users\user\music\!!restore-my-file-kavva.txt
- C:\\users\user\pictures\!!restore-my-file-kavva.txt
- C:\\users\user\saved games\!!restore-my-file-kavva.txt
- C:\\users\user\favorites\links for united states\gobiernousa.gov.url.c3680868c
- C:\\users\user\favorites\links for united states\usa.gov.url.c3680868c
- C:\\users\user\contacts\user.contact.c3680868c
- C:\\users\user\favorites\links\web slice gallery.url.c3680868c
- C:\\users\user\desktop\adhd_and_obesity.docx.c3680868c
- C:\\users\user\desktop\coffee.bmp.c3680868c
- C:\\users\user\desktop\contosoroot_1.cer.c3680868c
- C:\\users\user\desktop\delete.avi.c3680868c
- C:\\users\user\desktop\dashborder_120.bmp.c3680868c
- C:\\users\user\desktop\cveuropeo.doc.c3680868c
- C:\\users\user\desktop\correct.avi.c3680868c
- C:\\users\user\desktop\dial.bmp.c3680868c
- C:\\users\user\desktop\lisp_success.doc.c3680868c
- C:\\users\user\desktop\pmd.cer.c3680868c
- C:\\users\user\desktop\fi51.doc.c3680868c
- C:\\users\user\desktop\sdszfo.docx.c3680868c
- C:\\users\user\favorites\microsoft websites\ie add-on site.url.c3680868c
- C:\\users\user\desktop\testee.cer.c3680868c
- C:\\users\user\favorites\microsoft websites\ie site on microsoft.com.url.c3680868c
- C:\\users\user\desktop\nwfieldnotes1966.docx.c3680868c
- C:\\users\user\desktop\join.avi.c3680868c
- C:\\users\user\desktop\sdksampleprivdeveloper.cer.c3680868c
- C:\\users\user\favorites\microsoft websites\microsoft at home.url.c3680868c
- C:\\users\user\desktop\uep_form_786_bulletin_1726i602.doc.c3680868c
- C:\\users\user\desktop\hanni_umami_chapter.doc.c3680868c
- C:\\users\user\favorites\msn websites\msn autos.url.c3680868c
- C:\\users\user\desktop\thlps_keeper_mayer_1965.docx.c3680868c
- C:\\users\user\favorites\msn websites\msn entertainment.url.c3680868c
- C:\\users\user\favorites\microsoft websites\microsoft at work.url.c3680868c
- C:\\users\user\favorites\microsoft websites\microsoft store.url.c3680868c
- C:\\users\user\favorites\msn websites\msn money.url.c3680868c
- C:\\users\user\favorites\msn websites\msn sports.url.c3680868c
- C:\\users\user\favorites\msn websites\msn.url.c3680868c
- C:\\users\user\favorites\msn websites\msnbc news.url.c3680868c
- C:\\users\user\favorites\windows live\get windows live.url.c3680868c
- C:\\users\user\favorites\windows live\windows live gallery.url.c3680868c
- C:\\users\user\favorites\windows live\windows live spaces.url.c3680868c
- C:\\users\user\favorites\windows live\windows live mail.url.c3680868c
Изменяет следующие файлы
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<Полный путь к файлу>' -all (со скрытым окном)
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /all /quiet (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' shadowcopy delete /nointeractive (со скрытым окном)
