Trojan.Encoder.29945

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '"%APPDATA%\Microsoft\Windows\ctfmon.exe" *'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\!!! your files are encrypted !!!.txt
<Имя диска съемного носителя>:\waterresourcesag.pptx
<Имя диска съемного носителя>:\asaprojectcompetition.pptx
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx
<Имя диска съемного носителя>:\middaugh_keynote.pptx
<Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\2.jpeg
%HOMEPATH%\desktop\tileimage.bmp
%HOMEPATH%\desktop\testee.cer
%HOMEPATH%\desktop\sdszfo.docx
%HOMEPATH%\desktop\sdksampleprivdeveloper.cer
%HOMEPATH%\desktop\sdkfailsafeemulator.cer
%HOMEPATH%\desktop\pushkin.jpeg
%HOMEPATH%\desktop\pmd.cer
%HOMEPATH%\desktop\parnas_01.jpeg
%HOMEPATH%\desktop\howto-index.html
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\delete.avi
%HOMEPATH%\desktop\default.bmp
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\api-hashmap.html
%HOMEPATH%\desktop\alert.html
%HOMEPATH%\desktop\adadsi.html
%HOMEPATH%\desktop\64bit_notes.htm
%HOMEPATH%\desktop\3.jpeg
%HOMEPATH%\desktop\210252809.jpeg
%HOMEPATH%\desktop\toolbar.bmp
%HOMEPATH%\desktop\tree_view.htm

Изменения в файловой системе

Создает следующие файлы

%TEMP%\696dce23.buran
unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\acroread.msi.30fe2769-5c2c-284c-2d4d-8969b3979b94
unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\acroread.msi
unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\!!! your files are encrypted !!!.txt
unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\abcpy.ini.30fe2769-5c2c-284c-2d4d-8969b3979b94
unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\abcpy.ini
C:\far2\addons\colors\default_highlighting\!!! your files are encrypted !!!.txt
unc\raabpv\users\all users\adobe\arm\s\!!! your files are encrypted !!!.txt
unc\raabpv\users\all users\adobe\arm\s\armmanifest.msi.30fe2769-5c2c-284c-2d4d-8969b3979b94
unc\raabpv\users\all users\adobe\arm\s\armmanifest.msi
unc\raabpv\users\all users\adobe\arm\reader_15.007.20033\!!! your files are encrypted !!!.txt
unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\data1.cab
unc\raabpv\users\all users\adobe\arm\reader_15.007.20033\readerdcmanifest.msi.30fe2769-5c2c-284c-2d4d-8969b3979b94
C:\far2\addons\colors\custom_highlighting\!!! your files are encrypted !!!.txt
C:\far2\addons\colors\!!! your files are encrypted !!!.txt
C:\far2\addons\!!! your files are encrypted !!!.txt
unc\raabpv\users\all users\!!! your files are encrypted !!!.txt
unc\raabpv\users\all users\ntuser.pol.30fe2769-5c2c-284c-2d4d-8969b3979b94
unc\raabpv\users\all users\ntuser.pol
C:\far2\!!! your files are encrypted !!!.txt
%HOMEPATH%\desktop\!!! your files are encrypted !!!.txt
%TEMP%\530d2c8e.buran
%APPDATA%\microsoft\windows\ctfmon.exe
unc\raabpv\users\all users\adobe\arm\reader_15.007.20033\readerdcmanifest.msi
unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\data1.cab.30fe2769-5c2c-284c-2d4d-8969b3979b94

Присваивает атрибут 'скрытый' для следующих файлов

unc\raabpv\users\all users\ntuser.pol.30fe2769-5c2c-284c-2d4d-8969b3979b94

Удаляет следующие файлы

%TEMP%\696dce23.buran
%TEMP%\530d2c8e.buran

Перемещает следующие файлы

unc\raabpv\users\all users\ntuser.pol в unc\raabpv\users\all users\ntuser.pol.30fe2769-5c2c-284c-2d4d-8969b3979b94
unc\raabpv\users\all users\adobe\arm\reader_15.007.20033\readerdcmanifest.msi в unc\raabpv\users\all users\adobe\arm\reader_15.007.20033\readerdcmanifest.msi.30fe2769-5c2c-284c-2d4d-8969b3979b94
unc\raabpv\users\all users\adobe\arm\s\armmanifest.msi в unc\raabpv\users\all users\adobe\arm\s\armmanifest.msi.30fe2769-5c2c-284c-2d4d-8969b3979b94
unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\abcpy.ini в unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\abcpy.ini.30fe2769-5c2c-284c-2d4d-8969b3979b94
unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\acroread.msi в unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\acroread.msi.30fe2769-5c2c-284c-2d4d-8969b3979b94
unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\data1.cab в unc\raabpv\users\all users\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\data1.cab.30fe2769-5c2c-284c-2d4d-8969b3979b94

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

Подключается к

'ip###ger.org':443

TCP

Запросы HTTP GET

http://ip##gger.ru/xxxxxx

UDP

DNS ASK ip##gger.ru
DNS ASK ip###ger.org

Другое

Создает и запускает на исполнение

'%APPDATA%\microsoft\windows\ctfmon.exe' *
'%WINDIR%\syswow64\cmd.exe' /e:on /c md "%APPDATA%\Microsoft\Windows" & copy "<Полный путь к файлу>" "%APPDATA%\Microsoft\Windows\ctfmon.exe" & reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "ctfmon.exe" ...' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /e:on /c md "%APPDATA%\Microsoft\Windows" & copy "<Полный путь к файлу>" "%APPDATA%\Microsoft\Windows\ctfmon.exe" & reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "ctfmon.exe" ...
'%WINDIR%\syswow64\reg.exe' add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "ctfmon.exe" /t REG_SZ /F /D "\"%APPDATA%\Microsoft\Windows\ctfmon.exe\" *"