Technical Information
To ensure autorun and distribution
Creates the following files on removable media
- <Drive name for removable media>:\asaprojectcompetition.pptx
- <Drive name for removable media>:\system volume information\wpsettings.dat.lock
- <Drive name for removable media>:\gruenspecht_02172016.pptx
- <Drive name for removable media>:\hypothyroidism_slides.pptx
- <Drive name for removable media>:\middaugh_keynote.pptx
- <Drive name for removable media>:\samieee_obiee_presentation.pptx
Malicious functions
To complicate detection of its presence in the operating system,
deletes volume shadow copies.
Executes the following
- '<SYSTEM32>\taskkill.exe' /f /im sql.exe
- '<SYSTEM32>\taskkill.exe' /f /im dbeng5U.exe
- '<SYSTEM32>\taskkill.exe' /f /im sqbcoreservice.exe
- '<SYSTEM32>\taskkill.exe' /f /im excel.exe
- '<SYSTEM32>\taskkill.exe' /f /im infopath.exe
- '<SYSTEM32>\taskkill.exe' /f /im msaccess.exe
- '<SYSTEM32>\taskkill.exe' /f /im mspub.exe
- '<SYSTEM32>\taskkill.exe' /f /im onenote.exe
- '<SYSTEM32>\taskkill.exe' /f /im encsvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im outlook.exe
- '<SYSTEM32>\taskkill.exe' /f /im steam.exe
- '<SYSTEM32>\taskkill.exe' /f /im thebat.exe
- '<SYSTEM32>\taskkill.exe' /f /im thunderbird.exe
- '<SYSTEM32>\taskkill.exe' /f /im visio.exe
- '<SYSTEM32>\taskkill.exe' /f /im winword.exe
- '<SYSTEM32>\taskkill.exe' /f /im wordpad.exe
- '<SYSTEM32>\taskkill.exe' /f /im notepad.exe
- '<SYSTEM32>\taskkill.exe' /f /im mydesktopqos.exe
- '<SYSTEM32>\taskkill.exe' /f /im ocomm.exe
- '<SYSTEM32>\taskkill.exe' /f /im tbirdconfig.exe
- '<SYSTEM32>\taskkill.exe' /f /im whatsapp.exe
- '<SYSTEM32>\taskkill.exe' /f /im telegram.exe
- '<SYSTEM32>\taskkill.exe' /f /im ocssd.exe
- '<SYSTEM32>\taskkill.exe' /f /im dbsnmp.exe
- '<SYSTEM32>\taskkill.exe' /f /im synctime.exe
- '<SYSTEM32>\taskkill.exe' /f /im agntsvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im isqlplussvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im xfssvccon.exe
- '<SYSTEM32>\taskkill.exe' /f /im mydesktopservice.exe
- '<SYSTEM32>\taskkill.exe' /f /im rmngr.exe
- '<SYSTEM32>\taskkill.exe' /f /im powerpnt.exe
- '<SYSTEM32>\taskkill.exe' /f /im ocautoupds.exe
- '<SYSTEM32>\taskkill.exe' /f /im msedge.exe
- '<SYSTEM32>\taskkill.exe' /f /im chrome.exe
- '<SYSTEM32>\taskkill.exe' /f /im yandex.exe
- '<SYSTEM32>\taskkill.exe' /f /im bitrix24.exe
- '<SYSTEM32>\taskkill.exe' /f /im 1cv8.exe
- '<SYSTEM32>\taskkill.exe' /f /im 1cv7.exe
- '<SYSTEM32>\taskkill.exe' /f /im viber.exe
- '<SYSTEM32>\taskkill.exe' /f /im oracle.exe
- '<SYSTEM32>\taskkill.exe' /f /im firefox.exe
- '<SYSTEM32>\taskkill.exe' /f /im rphost.exe
Terminates or attempts to terminate
the following user processes:
- firefox.exe
Modifies file system
Creates the following files
- C:\documents and settings\восстановить файлы.txt
- %HOMEPATH%\sendto\восстановить файлы.txt
- %HOMEPATH%\recent\восстановить файлы.txt
- %HOMEPATH%\printhood\восстановить файлы.txt
- %HOMEPATH%\nethood\восстановить файлы.txt
- %HOMEPATH%\my documents\восстановить файлы.txt
- %HOMEPATH%\local settings\восстановить файлы.txt
- %HOMEPATH%\documents\my videos\восстановить файлы.txt
- %HOMEPATH%\documents\my music\восстановить файлы.txt
- %HOMEPATH%\cookies\восстановить файлы.txt
- %HOMEPATH%\application data\восстановить файлы.txt
- C:\users\public\documents\my videos\восстановить файлы.txt
- C:\users\public\documents\my pictures\восстановить файлы.txt
- C:\users\public\documents\my music\восстановить файлы.txt
- %HOMEPATH%\start menu\восстановить файлы.txt
- C:\users\default user\восстановить файлы.txt
- C:\users\default\start menu\восстановить файлы.txt
- C:\users\default\sendto\восстановить файлы.txt
- C:\users\default\recent\восстановить файлы.txt
- C:\users\default\printhood\восстановить файлы.txt
- C:\users\default\nethood\восстановить файлы.txt
- C:\users\default\my documents\восстановить файлы.txt
- C:\users\default\local settings\восстановить файлы.txt
- C:\users\default\documents\my videos\восстановить файлы.txt
- C:\users\default\documents\my pictures\восстановить файлы.txt
- C:\users\default\documents\my music\восстановить файлы.txt
- C:\users\default\cookies\восстановить файлы.txt
- C:\users\default\application data\восстановить файлы.txt
- %ALLUSERSPROFILE%\восстановить файлы.txt
- C:\users\default\templates\восстановить файлы.txt
- %HOMEPATH%\templates\восстановить файлы.txt
Modifies the following files
- C:\users\public\desktop\acrobat reader dc.lnk.lock
- <Drive name for removable media>:\hypothyroidism_slides.pptx.lock
- <Drive name for removable media>:\gruenspecht_02172016.pptx.lock
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_idx.db
- <Drive name for removable media>:\asaprojectcompetition.pptx.lock
- D:\install.log.lock
- C:\kms\kms_vl_all_aio_debug.log.lock
- C:\kms\kms_vl_all_aio.cmd.lock
- %HOMEPATH%\searches\winrt--{s-1-5-21-2377844457-1847597103-2569463324-1000}-.searchconnector-ms.lock
- %HOMEPATH%\links\desktop.lnk.lock
- %HOMEPATH%\links\downloads.lnk.lock
- %HOMEPATH%\favorites\bing.url.lock
- %HOMEPATH%\desktop\cveuropeo.doc.lock
- %HOMEPATH%\desktop\contoso.cer.lock
- %HOMEPATH%\desktop\archer.avi.lock
- %HOMEPATH%\desktop\testcertificate.cer.lock
- %HOMEPATH%\desktop\508softwareandos.doc.lock
- %HOMEPATH%\desktop\microsoft edge.lnk.lock
- %HOMEPATH%\desktop\telegram.lnk.lock
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer.lock
- %HOMEPATH%\.oracle_jre_usage\90737d32e3aba6b.timestamp.lock
- C:\users\public\libraries\recordedtv.library-ms.lock
- C:\users\public\desktop\steam.lnk.lock
- C:\users\public\desktop\firefox.lnk.lock
- <Drive name for removable media>:\middaugh_keynote.pptx.lock
- <Drive name for removable media>:\samieee_obiee_presentation.pptx.lock
Changes user data files extensions (Trojan.Encoder).
Miscellaneous
Searches for the following windows
- ClassName: 'OleMainThreadWndClass' WindowName: ''
- ClassName: '' WindowName: ''
