Trojan.Encoder.29915

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\x.vbs

Вредоносные функции

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\syswow64\cmd.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\dashborder_120.bmp
%HOMEPATH%\desktop\delete.avi
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\dialmap.bmp
%HOMEPATH%\desktop\split.avi
%HOMEPATH%\desktop\tileimage.bmp
%HOMEPATH%\desktop\toolbar.bmp

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\b.wnry
<Текущая директория>\r.wnry
<Текущая директория>\t.wnry
<Текущая директория>\taskdl.exe
<Текущая директория>\taskse.exe
<Текущая директория>\u.wnry
<Текущая директория>\00000000.pky
<Текущая директория>\00000000.eky
<Текущая директория>\00000000.res
<Текущая директория>\@wanadecryptor@.exe
<Текущая директория>\1541572399643.bat
<Текущая директория>\msg\m_german.wnry
<Текущая директория>\@please_read_me@.txt
%HOMEPATH%\desktop\adhd_and_obesity.docx.wncryt
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx.wncryt
%HOMEPATH%\desktop\applicantform_en.doc.wncryt
%HOMEPATH%\desktop\cveuropeo.doc.wncryt
%HOMEPATH%\desktop\glidescope_review_rev_010.docx.wncryt
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.wncryt
%HOMEPATH%\desktop\@please_read_me@.txt
%HOMEPATH%\desktop\@wanadecryptor@.exe
%HOMEPATH%\desktop\dashborder_120.bmp.wncryt
<Текущая директория>\f.wnry
<Текущая директория>\msg\m_turkish.wnry
<Текущая директория>\msg\m_vietnamese.wnry
<Текущая директория>\msg\m_swedish.wnry
<Текущая директория>\msg\m_spanish.wnry
<Текущая директория>\msg\m_slovak.wnry
<Текущая директория>\msg\m_bulgarian.wnry
<Текущая директория>\msg\m_chinese (simplified).wnry
<Текущая директория>\msg\m_chinese (traditional).wnry
<Текущая директория>\msg\m_croatian.wnry
<Текущая директория>\msg\m_czech.wnry
<Текущая директория>\msg\m_danish.wnry
<Текущая директория>\msg\m_dutch.wnry
<Текущая директория>\msg\m_english.wnry
<Текущая директория>\msg\m_filipino.wnry
<Текущая директория>\msg\m_finnish.wnry
<Текущая директория>\m.vbs
%HOMEPATH%\desktop\2.jpeg.wncryt
<Текущая директория>\msg\m_french.wnry
<Текущая директория>\msg\m_indonesian.wnry
<Текущая директория>\msg\m_italian.wnry
<Текущая директория>\msg\m_japanese.wnry
<Текущая директория>\msg\m_korean.wnry
<Текущая директория>\msg\m_latvian.wnry
<Текущая директория>\msg\m_norwegian.wnry
<Текущая директория>\msg\m_polish.wnry
<Текущая директория>\msg\m_portuguese.wnry
<Текущая директория>\msg\m_romanian.wnry
<Текущая директория>\msg\m_russian.wnry
<Текущая директория>\c.wnry
<Текущая директория>\msg\m_greek.wnry
<Текущая директория>\@wanadecryptor@.exe.lnk

Удаляет следующие файлы

<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.wncryt
<Имя диска съемного носителя>:\february_catalogue__2015.doc.wncryt
<Имя диска съемного носителя>:\cveuropeo.doc.wncryt
<Текущая директория>\m.vbs

Перемещает следующие файлы

%HOMEPATH%\desktop\2.jpeg.wncryt в %HOMEPATH%\desktop\2.jpeg.wncry
%HOMEPATH%\desktop\adhd_and_obesity.docx.wncryt в %HOMEPATH%\desktop\adhd_and_obesity.docx.wncry
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx.wncryt в %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx.wncry
%HOMEPATH%\desktop\applicantform_en.doc.wncryt в %HOMEPATH%\desktop\applicantform_en.doc.wncry
%HOMEPATH%\desktop\cveuropeo.doc.wncryt в %HOMEPATH%\desktop\cveuropeo.doc.wncry
%HOMEPATH%\desktop\glidescope_review_rev_010.docx.wncryt в %HOMEPATH%\desktop\glidescope_review_rev_010.docx.wncry
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.wncryt в %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.wncry
%HOMEPATH%\desktop\dashborder_120.bmp.wncryt в %HOMEPATH%\desktop\dashborder_120.bmp.wncry

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Ищет следующие окна

ClassName: 'Progman' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\taskdl.exe'
'%WINDIR%\syswow64\cmd.exe' /c echo on error resume next:CreateObject("WScript.Shell").Run "<Полный путь к файлу>",1: >"%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs"' (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' +h .' (со скрытым окном)
'%WINDIR%\syswow64\icacls.exe' . /grant Everyone:F /T /C /Q' (со скрытым окном)
'<Текущая директория>\taskdl.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c 1541572399643.bat' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c echo on error resume next:CreateObject("WScript.Shell").Run "<Полный путь к файлу>",1: >"%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs"
'%WINDIR%\syswow64\attrib.exe' +h .
'%WINDIR%\syswow64\icacls.exe' . /grant Everyone:F /T /C /Q
'%WINDIR%\syswow64\cmd.exe' /c 1541572399643.bat
'%WINDIR%\syswow64\cscript.exe' //nologo m.vbs