Trojan.Encoder.26763

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\w4obcpns.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\w4obcpns.lnk

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\8PNeopxbaQD4\w4obcpns.exe
%APPDATA%\8PNeopxbaQD4\H2wE3s0G.cmd
%TEMP%\otqel4Ga.exe
%APPDATA%\Microsoft\WQOrd8wn.exe
<LS_APPDATA>\Microsoft\Kve7Rqrm.exe
%APPDATA%\44482F7A3A937E1A.pek
%APPDATA%\44482F7A3A937E1A.sek
%TEMP%\SowLj6WQ.exe
%TEMP%\r49leuK7.exe
%APPDATA%\8PNeopxbaQD4\DF6caOmK.cmd
%APPDATA%\#How-to-return-files#.rtf
%TEMP%\EXhqUdfc.exe
%HOMEPATH%\Templates\#How-to-return-files#.rtf

Удаляет следующие файлы:

<Полный путь к файлу>

Сетевая активность:

Подключается к:

'cr###tcardca.co':80

TCP:

Запросы HTTP GET:

http://cr###tcardca.co/addrecord.php?ap################################################################################

UDP:

DNS ASK cr###tcardca.co

Другое:

Создает и запускает на исполнение:

'%APPDATA%\8PNeopxbaQD4\w4obcpns.exe' 0dJMWZwM7IOsYxFx
'%TEMP%\otqel4Ga.exe' "%APPDATA%\8PNeopxbaQD4\" "0dJMWZwM7IOsYxFx" "START" "60000"
'%APPDATA%\Microsoft\WQOrd8wn.exe' "%APPDATA%\8PNeopxbaQD4\w4obcpns.exe" "<LS_APPDATA>\Microsoft\Kve7Rqrm.exe" 1
'%TEMP%\r49leuK7.exe' "%APPDATA%\8PNeopxbaQD4\" "0dJMWZwM7IOsYxFx" "WIN_5.1_32|ADMIN_YES|INT_0" "60000"
'<LS_APPDATA>\Microsoft\Kve7Rqrm.exe' "%APPDATA%\8PNeopxbaQD4\w4obcpns.exe" "%APPDATA%\Microsoft\WQOrd8wn.exe" 2
'%TEMP%\EXhqUdfc.exe' "%APPDATA%\8PNeopxbaQD4\" "0dJMWZwM7IOsYxFx" "198_LESS_1GB" "60000"
'%TEMP%\SowLj6WQ.exe' "%APPDATA%\8PNeopxbaQD4\" "0dJMWZwM7IOsYxFx" "LOCAL_44482F7A3A937E1A" "60000"

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /C type "<Полный путь к файлу>" > "%APPDATA%\8PNEOP~1\w4obcpns.exe"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\8PNeopxbaQD4\w4obcpns.exe" > "%TEMP%\otqel4Ga.exe" && "%TEMP%\otqel4Ga.exe" "%APPDATA%\8PNeopxbaQD4\" "0dJMWZwM7IOsYxFx" "START" "60000"
'<SYSTEM32>\cmd.exe' /C "%APPDATA%\8PNeopxbaQD4\H2wE3s0G.cmd"
'<SYSTEM32>\ping.exe' -n 3 localhost
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\8PNeopxbaQD4\w4obcpns.exe" > "%APPDATA%\Microsoft\WQOrd8wn.exe" && "%APPDATA%\Microsoft\WQOrd8wn.exe" "%APPDATA%\8PNeopxbaQD4\w4obcpns.exe" "<LS_APPDATA>\Microsoft\Kve7Rqrm.e...
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\8PNeopxbaQD4\w4obcpns.exe" > "<LS_APPDATA>\Microsoft\Kve7Rqrm.exe" && "<LS_APPDATA>\Microsoft\Kve7Rqrm.exe" "%APPDATA%\8PNeopxbaQD4\w4obcpns.exe" "%APPDATA%\Microsoft\WQOrd8w...
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\8PNeopxbaQD4\w4obcpns.exe" > "%TEMP%\SowLj6WQ.exe" && "%TEMP%\SowLj6WQ.exe" "%APPDATA%\8PNeopxbaQD4\" "0dJMWZwM7IOsYxFx" "LOCAL_44482F7A3A937E1A" "60000"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\8PNeopxbaQD4\w4obcpns.exe" > "%TEMP%\r49leuK7.exe" && "%TEMP%\r49leuK7.exe" "%APPDATA%\8PNeopxbaQD4\" "0dJMWZwM7IOsYxFx" "WIN_5.1_32|ADMIN_YES|INT_0" "60000"
'<SYSTEM32>\cmd.exe' /C "%APPDATA%\8PNeopxbaQD4\DF6caOmK.cmd"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\8PNeopxbaQD4\w4obcpns.exe" > "%TEMP%\EXhqUdfc.exe" && "%TEMP%\EXhqUdfc.exe" "%APPDATA%\8PNeopxbaQD4\" "0dJMWZwM7IOsYxFx" "198_LESS_1GB" "60000"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\#HOW-T~1.RTF" > "%HOMEPATH%\Templates\#How-to-return-files#.rtf"
'<SYSTEM32>\cmd.exe' /C CACLS "Z:\.live" /E /G %USERNAME%:F /C & ATTRIB -R -A -H "Z:\.live"
'<SYSTEM32>\cacls.exe' "Z:\.live" /E /G %USERNAME%:F /C