Trojan.Encoder.25595

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'fYRAmw' = '%APPDATA%\sql.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'whelp' = '%APPDATA%\helper.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\я
%HOMEPATH%\Start Menu\Programs\Startup\desktop.ini
%HOMEPATH%\Start Menu\Programs\Startup\HOW TO RECOVER ENCRYPTED FILES.TXT
%HOMEPATH%\Start Menu\Programs\Startup\Shortcut to startup_local.lnk

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\cscript.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\sql.exe
%HOMEPATH%\Start Menu\Programs\Accessories\Accessibility\я
%HOMEPATH%\Start Menu\Programs\Accessories\Accessibility\HOW TO RECOVER ENCRYPTED FILES.TXT
%HOMEPATH%\Start Menu\Programs\Accessories\Entertainment\я
%HOMEPATH%\Start Menu\Programs\Accessories\Entertainment\HOW TO RECOVER ENCRYPTED FILES.TXT
C:\Far2\я
C:\Far2\HOW TO RECOVER ENCRYPTED FILES.TXT
C:\Far2\Addons\я
%HOMEPATH%\Start Menu\Programs\Accessories\я
%HOMEPATH%\Start Menu\Programs\Accessories\HOW TO RECOVER ENCRYPTED FILES.TXT
C:\Far2\Addons\HOW TO RECOVER ENCRYPTED FILES.TXT
%TEMP%\tmp3.tmp
C:\Far2\Addons\Colors\HOW TO RECOVER ENCRYPTED FILES.TXT
C:\Far2\Addons\Colors\Custom Highlighting\я
C:\Far2\Addons\Colors\Custom Highlighting\HOW TO RECOVER ENCRYPTED FILES.TXT
<SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
C:\Far2\Addons\Colors\Default Highlighting\я
C:\Far2\Addons\Colors\Default Highlighting\HOW TO RECOVER ENCRYPTED FILES.TXT
<SYSTEM32>\wbem\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
C:\Far2\Addons\Colors\я
%HOMEPATH%\Start Menu\Programs\HOW TO RECOVER ENCRYPTED FILES.TXT
%HOMEPATH%\Start Menu\Programs\я
%HOMEPATH%\Start Menu\HOW TO RECOVER ENCRYPTED FILES.TXT
%TEMP%\tmp2.tmp
%TEMP%\~wtmp001.exe
%APPDATA%\helper.exe
C:\я
C:\HOW TO RECOVER ENCRYPTED FILES.TXT
%HOMEPATH%\я
%HOMEPATH%\HOW TO RECOVER ENCRYPTED FILES.TXT
%HOMEPATH%\Favorites\я
%TEMP%\tmp1.tmp
%HOMEPATH%\Favorites\HOW TO RECOVER ENCRYPTED FILES.TXT
%HOMEPATH%\Favorites\Links\HOW TO RECOVER ENCRYPTED FILES.TXT
%HOMEPATH%\My Documents\я
%HOMEPATH%\My Documents\HOW TO RECOVER ENCRYPTED FILES.TXT
%HOMEPATH%\My Documents\My Music\я
%HOMEPATH%\My Documents\My Music\HOW TO RECOVER ENCRYPTED FILES.TXT
%HOMEPATH%\My Documents\My Pictures\я
%HOMEPATH%\My Documents\My Pictures\HOW TO RECOVER ENCRYPTED FILES.TXT
%HOMEPATH%\Start Menu\я
%HOMEPATH%\Favorites\Links\я
C:\Far2\Addons\Macros\я
C:\Far2\Addons\Macros\HOW TO RECOVER ENCRYPTED FILES.TXT

Удаляет следующие файлы:

%APPDATA%\sql.exe
%TEMP%\tmp3.tmp
C:\Far2\Addons\Colors\Custom Highlighting\я
C:\Far2\Addons\Colors\я
%TEMP%\tmp2.tmp
C:\Far2\Addons\я
C:\Far2\я
%HOMEPATH%\Start Menu\Programs\Startup\я
%HOMEPATH%\Start Menu\Programs\Accessories\Entertainment\я
%HOMEPATH%\Start Menu\Programs\Accessories\Accessibility\я
%HOMEPATH%\Start Menu\Programs\Accessories\я
%HOMEPATH%\Start Menu\Programs\я
%HOMEPATH%\Start Menu\я
%HOMEPATH%\My Documents\My Pictures\я
%HOMEPATH%\My Documents\My Music\я
%HOMEPATH%\My Documents\я
%HOMEPATH%\Favorites\Links\я
%HOMEPATH%\Favorites\я
%HOMEPATH%\я
C:\я
%APPDATA%\helper.exe
%TEMP%\tmp1.tmp
C:\Far2\Addons\Colors\Default Highlighting\я
C:\Far2\Addons\Macros\я

Другое:

Ищет следующие окна:

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''

Создает и запускает на исполнение:

'%APPDATA%\sql.exe'
'%TEMP%\~wtmp001.exe'
'%APPDATA%\helper.exe'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c copy /y "<Полный путь к файлу>" "%APPDATA%\sql.exe"
'<SYSTEM32>\mshta.exe' "javascript:o=new ActiveXObject('WScript.Shell');x=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{i=x.GetFile('sql.exe').Path;o.RegWrite('HKCU\\Software\\Microsoft\\...
'<SYSTEM32>\mshta.exe' "javascript:eval(new ActiveXObject('WScript.Shell').RegRead('HKCU\\Software\\QLCTY\\THLTK'));close();"
'<SYSTEM32>\cmd.exe' /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0
'<SYSTEM32>\cmd.exe' /c wmic SHADOWCOPY DELETE
'<SYSTEM32>\cmd.exe' /c vssadmin Delete Shadows /All /Quiet
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} recoveryenabled No
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures