所使用的公钥被硬编码在程序中。

▲ 加密所使用的公钥

除C:\Windows目录下外，所有盘符下的所有文件夹均会被加密。被加密的文件格式如下所示。 

>>>> 3.2.4 传 

该样本会释放出名为dllhost.dat的文件。该文件是微软Sysinternals工具集中的PsExec程序。该程序可用于在远程机器上执行命令。控制端和被控制端的数据传输都是通过445(Windows2000)/135或139端口进行(非Windows 2000)。