Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\nephilin-decrypt.txt
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dialmap.bmp
- <Имя диска съемного носителя>:\dial.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\dashborder_120.bmp
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\correct.avi.nephilin
- <Имя диска съемного носителя>:\join.avi.nephilin
- <Имя диска съемного носителя>:\default.bmp.nephilin
- <Имя диска съемного носителя>:\dashborder_192.bmp.nephilin
- <Имя диска съемного носителя>:\dialmap.bmp.nephilin
- <Имя диска съемного носителя>:\dial.bmp.nephilin
- <Имя диска съемного носителя>:\dashborder_120.bmp.nephilin
- <Имя диска съемного носителя>:\contoso_1.cer.nephilin
- <Имя диска съемного носителя>:\pmd.cer.nephilin
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer.nephilin
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.nephilin
- <Имя диска съемного носителя>:\508softwareandos.doc.nephilin
- <Имя диска съемного носителя>:\weeklysheet1215.doc.nephilin
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx.nephilin
- <Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx.nephilin
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx.nephilin
- <Имя диска съемного носителя>:\sacs_presentation_sacs_qep_improving_rt_education_final.ppt.nephilin
- <Имя диска съемного носителя>:\proposaltemplates.ppt.nephilin
- <Имя диска съемного носителя>:\ksearch_esa_talk.ppt.nephilin
- <Имя диска съемного носителя>:\writingcompletesarnarrative_1103.ppt.nephilin
- <Имя диска съемного носителя>:\accountsreceivable.ppt.nephilin
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx.nephilin
- <Имя диска съемного носителя>:\waterresourcesag.pptx.nephilin
- <Имя диска съемного носителя>:\roozenedowebinar.pptx.nephilin
- <Имя диска съемного носителя>:\gruenspecht_02172016.pptx.nephilin
- <Имя диска съемного носителя>:\hypothyroidism_slides.pptx.nephilin
- <Имя диска съемного носителя>:\samieee_obiee_presentation.pptx.nephilin
- <Имя диска съемного носителя>:\swc_2009-03-02.rdf.nephilin
- <Имя диска съемного носителя>:\elvisimp.rdf.nephilin
- <Имя диска съемного носителя>:\sioc.rdf.nephilin
- <Имя диска съемного носителя>:\foaf.rdf.nephilin
- <Имя диска съемного носителя>:\schema.rdf.nephilin
- <Имя диска съемного носителя>:\20140114.rdf.nephilin
- <Имя диска съемного носителя>:\waterlandhealthkano.rtf.nephilin
- <Имя диска съемного носителя>:\fungalnameauthors.rtf.nephilin
- <Имя диска съемного носителя>:\flower_trans_matte.wmv.nephilin
- <Имя диска съемного носителя>:\testwmv.wmv.nephilin
- <Имя диска съемного носителя>:\babyboymaintoscenesbackground_pal.wmv.nephilin
- <Имя диска съемного носителя>:\babyboymaintonotesbackground_pal.wmv.nephilin
- <Имя диска съемного носителя>:\calculatorworksheet.xls.nephilin
- <Имя диска съемного носителя>:\subjectclassification.xls.nephilin
- <Имя диска съемного носителя>:\contractualdeadlines.xls.nephilin
- <Имя диска съемного носителя>:\fiche_inscription_2015.xls.nephilin
- <Имя диска съемного носителя>:\1sm_price.xls.nephilin
- <Имя диска съемного носителя>:\suspendedcompanies.xlsx.nephilin
- <Имя диска съемного носителя>:\cee_mmsprogram_summary_public.xlsx.nephilin
- <Имя диска съемного носителя>:\trtf_matrix2012_oct.xlsx.nephilin
- <Имя диска съемного носителя>:\highly_cited_2001.xlsx.nephilin
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-4226853953-3309226944-3078887307-1000\d74759060de1c83d2f6d17507c567d54_8cf7b530-613e-439b-a8c5-ccfc0e745400
- C:\nephilin-decrypt.txt
- D:\nephilin-decrypt.txt
- %TEMP%\god.jpg
Изменяет следующие файлы
- C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\office64ww.xml
- C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\pkeyconfig-office.xrm-ms
- C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\proplusww.xml
- C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-0016-0409-0000-0000000ff1ce}-c\excelmui.xml
- C:\msocache\all users\{90160000-0016-0409-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-0018-0409-0000-0000000ff1ce}-c\powerpointmui.xml
- C:\msocache\all users\{90160000-0018-0409-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-0019-0409-0000-0000000ff1ce}-c\publishermui.xml
- C:\msocache\all users\{90160000-0019-0409-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-001a-0409-0000-0000000ff1ce}-c\outlookmui.xml
- C:\msocache\all users\{90160000-001a-0409-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-001b-0409-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-001b-0409-0000-0000000ff1ce}-c\wordmui.xml
- C:\msocache\all users\{90160000-002c-0409-0000-0000000ff1ce}-c\proof.en\proof.xml
- C:\msocache\all users\{90160000-002c-0409-0000-0000000ff1ce}-c\proof.es\proof.xml
- C:\msocache\all users\{90160000-002c-0409-0000-0000000ff1ce}-c\proof.fr\proof.xml
- C:\msocache\all users\{90160000-002c-0409-0000-0000000ff1ce}-c\proofing.xml
- C:\msocache\all users\{90160000-002c-0409-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-0044-0409-0000-0000000ff1ce}-c\infopathmui.xml
- C:\msocache\all users\{90160000-0044-0409-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-0090-0409-0000-0000000ff1ce}-c\dcfmui.xml
- C:\msocache\all users\{90160000-0090-0409-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-00a1-0409-0000-0000000ff1ce}-c\onenotemui.xml
- C:\msocache\all users\{90160000-00a1-0409-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-00ba-0409-0000-0000000ff1ce}-c\groovemui.xml
- C:\msocache\all users\{90160000-00ba-0409-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-00e1-0409-0000-0000000ff1ce}-c\osmmui.xml
- C:\msocache\all users\{90160000-00e1-0409-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-00e2-0409-0000-0000000ff1ce}-c\osmuxmui.xml
Изменяет множество файлов.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog -quiet & wmic shadowcopy delete (со скрытым окном)
