Trojan.Encoder.10706

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Startup\WOm4mpaW.lnk
%HOMEPATH%\Start Menu\Programs\Startup\WOm4mpaW.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe' WPQ2U00qAdlkwS7E

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\WHATHA~1.RTF" > "C:\Far2\Plugins\7-Zip\WhatHappenedWithFiles.rtf"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\WHATHA~1.RTF" > "C:\Far2\Plugins\Colorer\hrc\WhatHappenedWithFiles.rtf"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\WHATHA~1.RTF" > "C:\Far2\Plugins\ExtSearch\doc\WhatHappenedWithFiles.rtf"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\WHATHA~1.RTF" > "C:\Far2\Addons\WhatHappenedWithFiles.rtf"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\WHATHA~1.RTF" > "C:\Far2\Documentation\eng\WhatHappenedWithFiles.rtf"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\WHATHA~1.RTF" > "C:\Far2\Documentation\rus\WhatHappenedWithFiles.rtf"
'<SYSTEM32>\cacls.exe' "Z:\.live" /E /G %USERNAME%:F /C
'%APPDATA%\Microsoft\uRgCeFYU.exe' "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" "<LS_APPDATA>\Microsoft\rmBlJOfT.exe" 1
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\Microsoft\uRgCeFYU.exe" > "<LS_APPDATA>\Microsoft\rmBlJOfT.exe" && "<LS_APPDATA>\Microsoft\rmBlJOfT.exe" "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" "%APPDATA%\Microsoft\uRgCeFYU.e...
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\WHATHA~1.RTF" > "C:\Far2\Plugins\FTP\WhatHappenedWithFiles.rtf"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\WHATHA~1.RTF" > "<STUBS_DIR>\WhatHappenedWithFiles.rtf"
'<SYSTEM32>\cmd.exe' /C CACLS "Z:\.live" /E /G %USERNAME%:F /C & ATTRIB -R -A -H "Z:\.live"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\WHATHA~1.RTF" > "%HOMEPATH%\Templates\WhatHappenedWithFiles.rtf"
'<SYSTEM32>\ping.exe' -n 3 localhost
'%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe' WPQ2U00qAdlkwS7E
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" > "%APPDATA%\Microsoft\uRgCeFYU.exe" && "%APPDATA%\Microsoft\uRgCeFYU.exe" "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" "<LS_APPDATA>\Microsoft\rmBlJOfT.e...
'<SYSTEM32>\cmd.exe' /C type "<Полный путь к файлу>" > "%APPDATA%\LGBVZY~1\WOm4mpaW.exe"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" > "%TEMP%\CFPROX9J.exe" && "%TEMP%\CFPROX9J.exe" "%APPDATA%\LGbVzy8p9tGG\" "WPQ2U00qAdlkwS7E" "START" "60000"
'<SYSTEM32>\cmd.exe' /C "%APPDATA%\LGbVzy8p9tGG\hqkZTTkN.cmd"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" > "%TEMP%\51DxgNK8.exe" && "%TEMP%\51DxgNK8.exe" "%APPDATA%\LGbVzy8p9tGG\" "WPQ2U00qAdlkwS7E" "195_LESS_1GB" "60000"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" > "%TEMP%\1qy1BjnT.exe" && "%TEMP%\1qy1BjnT.exe" "%APPDATA%\LGbVzy8p9tGG\" "WPQ2U00qAdlkwS7E" "FILESEXTLIST" "60000" "%APPDATA%\LGbVzy8p9tGG\WPQ2U0...
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" > "%TEMP%\v3hKxrhH.exe" && "%TEMP%\v3hKxrhH.exe" "%APPDATA%\LGbVzy8p9tGG\" "WPQ2U00qAdlkwS7E" "CIP_STARTED" "60000"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" > "<LS_APPDATA>\Microsoft\rmBlJOfT.exe" && "<LS_APPDATA>\Microsoft\rmBlJOfT.exe" "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" "%APPDATA%\Microsoft\uRgCeFY...
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" > "%TEMP%\W18zMkzH.exe" && "%TEMP%\W18zMkzH.exe" "%APPDATA%\LGbVzy8p9tGG\" "WPQ2U00qAdlkwS7E" "LOCAL_3A9A826FB9808B11" "60000"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\LGbVzy8p9tGG\WOm4mpaW.exe" > "%TEMP%\VLUShuR9.exe" && "%TEMP%\VLUShuR9.exe" "%APPDATA%\LGbVzy8p9tGG\" "WPQ2U00qAdlkwS7E" "WIN_5.1_32|ADMIN_YES|INT_0" "60000"