SHA1:
- bdd2ecf290406b8a09eb01016c7658a283c407c3
Троянец-шифровальщик для ОС Windows, написан на языке C++. Содержит несколько зашифрованных ресурсов. Trojan.Encoder.11526 использует код, обнаруженный вирусными аналитиками в энкодере Trojan.Encoder.10848. Контроль повторного запуска троянец осуществляет с помощью объекта event с именем Global\88e0ddf0-7b4d-40ef-b3a4-681a36f56107. Проверяет наличие файла с именем 88e0ddf0-7b4d-40ef-b3a4-681a36f56107 в следующих папках:
- %APPDATA%
- %TEMP%
- %TMP%
- %PUBLIC%
Если указанный файл обнаружен, троянец завершает свою работу, если нет – пытается его создать. Проверяет запущенные антивирусные программы по именам процессов, если обнаруживает работающие приложения с именами avp.exe или avpui.exe, завершает свою работу. Затем энкодер выбирает имя из следующего списка:
- mssql
- mscomrpc
- mscom
- msdcom
- mssec
- mssecsvc
- msdns
- msaddc
К выбранному имени добавляет расширение .exe и пытается создать файл в перечисленных выше каталогах. Если это удается, он расшифровывает и сохраняет в этот файл из собственных ресурсов энкодер, предназначенный непосредственно для шифрования файлов, а затем запускает его.
Контроль повторного запуска осуществляется путем проверки объекта event с именем Global\{bb198875-b049-4c53-a7a8-fc2b400cc06d}. При запуске троянец удаляет файл auth.txt из своего каталога. Зашифрованным файлам присваивается расширение *.~xdata~.
Троянец генерирует ключевую пару RSA-2048, сохраняет в папку %COMMON_APPDATA% или в %APPDATA% *.key-файл с приватным ключом из этой пары и шифрует файл. Шифрование файлов осуществляется с использованием алгоритма AES, ключ уникален для каждого файла. Сессионный ключ шифруется сгенерированным RSA-ключом, а в случае с key-файлом – мастер-ключом, зашитым в тело троянца. Зашифрованные файлы получают дописку в 0x108 байт – маркер A12AF21F97FFDE97 и 0x100 байт зашифрованного ключа.
В конце мая 2017 года в публичный доступ была выложена приватная часть мастер-ключа этого троянца, в связи с чем расшифровка поврежденных им файлов стала возможной.
