Trojan.BadRabbit.52

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\dashborder_192.bmp.ubnxdnoqagrrwwtz
<Имя диска съемного носителя>:\toolbar.bmp.znqwkfvnzehlmcrf
<Имя диска съемного носителя>:\coffee.bmp.botbvecuugivqdvg
<Имя диска съемного носителя>:\dialmap.bmp.mdnoksaltzqqghoo
<Имя диска съемного носителя>:\tileimage.bmp.xkrozusxsmguvese
<Имя диска съемного носителя>:\dashborder_144.bmp.gqxhfjjgunfxirvd
<Имя диска съемного носителя>:\default.bmp.sxoqeljhghvyigls
<Имя диска съемного носителя>:\testcertificate.cer.tymjndsrsbitcmui
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer.unwofbeebsvsejfw
<Имя диска съемного носителя>:\pmd.cer.kofomzeagihmrvpi
<Имя диска съемного носителя>:\contoso_1.cer.awhoqjcjnsgnkjrh
<Имя диска съемного носителя>:\lisp_success.doc.klbbrmpksdlsqzmm
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.xzttlbzbtnruajgb
<Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx.ihobilyrmfbddrrr
<Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx.vsmkvyqubejjlxng
<Имя диска съемного носителя>:\file_p_00000000_1371597592.docx.ilcyamnckvhxgzgw

Вредоносные функции

Завершает или пытается завершить

следующие пользовательские процессы:

Изменения в файловой системе

Создает следующие файлы

Удаляет файлы, которые сам же создал

Изменяет следующие файлы

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c timeout 2 & Del "<Полный путь к файлу>" & Del "<PATH_SAMPLE>.bmp" exit (со скрытым окном)
'%WINDIR%\syswow64\timeout.exe' 2
'<SYSTEM32>\cmd.exe' /c diskshadow /s %ALLUSERSPROFILE%\picture.bmp (со скрытым окном)
'%ALLUSERSPROFILE%\<Имя файла>.exe' (со скрытым окном)
'%ALLUSERSPROFILE%\sh.bmp' (со скрытым окном)