Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Readme' = '%LOCALAPPDATA%\Runtime Broker.exe'
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\correct.avi
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\split.avi
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\xoypqw4lqvhcqeyuj0.p83crtfsfh6k47b3xv
- %HOMEPATH%\readme.txt
- %HOMEPATH%\contacts\readme.txt
- %HOMEPATH%\desktop\readme.txt
- C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\readme.txt
- C:\users\public\libraries\readme.txt
- %HOMEPATH%\favorites\links\readme.txt
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-00a1-0409-1000-0000000ff1ce}-c\readme.txt
- %HOMEPATH%\favorites\microsoft websites\readme.txt
- %HOMEPATH%\favorites\msn websites\readme.txt
- C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\access.en-us\readme.txt
- %HOMEPATH%\favorites\windows live\readme.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.fr\readme.txt
- C:\users\public\videos\sample videos\readme.txt
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.es\readme.txt
- C:\users\public\recorded tv\sample media\readme.txt
- %ALLUSERSPROFILE%\exw4hdolov4kb12fvc.qkq4huqtmwlgaukvjw
- %ALLUSERSPROFILE%\jer7xd3i1l79imqvpm.hoyfyvkqplshim0n7l
- %ALLUSERSPROFILE%\608pefapaxbshrnapk.ikp6vxmroegvrfdur1
- %ALLUSERSPROFILE%\rdp_shit.exe
- %ALLUSERSPROFILE%\ransomeware.exe
- %LOCALAPPDATA%\runtime broker.exe
- C:\kms\readme.txt
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\readme.txt
- %HOMEPATH%\favorites\links for united states\readme.txt
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\readme.txt
- C:\users\public\music\sample music\readme.txt
- C:\users\public\pictures\sample pictures\readme.txt
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\readme.txt
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\readme.txt
- D:\readme.txt
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\readme.txt
- %ALLUSERSPROFILE%\e72wfcha8fxdmcageg.sgfnzzu1rdzgj1hkks
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\readme.txt
- %HOMEPATH%\searches\readme.txt
Изменяет следующие файлы
- C:\kms\kms_vl_all_aio_debug.log
- C:\users\public\pictures\sample pictures\tulips.jpg
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\powerpointmui.msi
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proofing.xml
- C:\users\public\pictures\sample pictures\penguins.jpg
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\setup.xml
- C:\users\public\pictures\sample pictures\lighthouse.jpg
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excelmui.xml
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proofing.msi
- C:\users\public\pictures\sample pictures\koala.jpg
- C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excelmui.msi
- C:\users\public\pictures\sample pictures\jellyfish.jpg
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\setup.xml
- C:\users\public\pictures\sample pictures\hydrangeas.jpg
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.xml
- C:\users\public\pictures\sample pictures\desert.jpg
- C:\users\public\pictures\sample pictures\chrysanthemum.jpg
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.msi
- C:\users\public\music\sample music\sleep away.mp3
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\pkeyconfig-office.xrm-ms
- C:\users\public\music\sample music\maid with the flaxen hair.mp3
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.xml
- C:\users\public\music\sample music\kalimba.mp3
- C:\users\public\libraries\recordedtv.library-ms
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winre.wim
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.msi
- C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\boot.sdi
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\proof.msi
- C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\powerpointmui.xml
Изменяет множество файлов.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'localhost':3389
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\rdp_shit.exe'
- '%ALLUSERSPROFILE%\ransomeware.exe'
- '%LOCALAPPDATA%\runtime broker.exe'
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %ALLUSERSPROFILE%\XOypqw4lQvHcqEyuJ0.p83cRtFSfh6K47B3Xv
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %ALLUSERSPROFILE%\e72wfCHA8fXDMCAGEG.SgfNZZU1RDZgJ1hkKS
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %ALLUSERSPROFILE%\EXW4HdOlov4KB12fVc.Qkq4hUqtmwLGaUkvjw
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %ALLUSERSPROFILE%\JeR7Xd3i1L79ImqVPM.hOYfyVKQplshIM0n7l
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %ALLUSERSPROFILE%\608pefaPAXbShrnAPK.iKp6VXmRoEGVRFDUR1
