Trojan.Encoder.30003

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\q9O5Z1gfile\shell\Open\Command] '' = '<Полный путь к файлу> "%1"'

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\3.jpg
%HOMEPATH%\desktop\pushkin.jpg
%HOMEPATH%\desktop\1189.jpeg
%HOMEPATH%\desktop\13.jpeg
%HOMEPATH%\desktop\default.bmp

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\network\przt1.prz
%APPDATA%\icqm\vplog.dat.q9o5z1g
%APPDATA%\mail.ru\agent\vplog.dat.q9o5z1g
%APPDATA%\microsoft\dbgclr\7.1\objbrow.dat.q9o5z1g
%APPDATA%\microsoft\msdn\7.0\objbrow.dat.q9o5z1g
%APPDATA%\microsoft\office\recent\index.dat.q9o5z1g
%APPDATA%\microsoft\windows\ietldcache\index.dat.q9o5z1g
%APPDATA%\microsoft\windows\privacie\index.dat.q9o5z1g
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\pluginreg.dat.q9o5z1g
%APPDATA%\mra\update\vvlog.dat.q9o5z1g
%APPDATA%\telegram desktop\unins000.dat.q9o5z1g
%APPDATA%\thunderbird\profiles\wjj9aet2.default\mailviews.dat.q9o5z1g
%HOMEPATH%\desktop\chromesetup.exe.q9o5z1g
%HOMEPATH%\desktop\1189.jpeg.q9o5z1g
%HOMEPATH%\desktop\dotnetfx45_full_setup.exe.q9o5z1g
%HOMEPATH%\desktop\jre-7u75-windows-i586-iftw.exe.q9o5z1g
%HOMEPATH%\desktop\tcm851ax32.exe.q9o5z1g
%HOMEPATH%\desktop\winmine.exe.q9o5z1g
%HOMEPATH%\desktop\fi51.doc.q9o5z1g
%HOMEPATH%\desktop\lisp_success.doc.q9o5z1g
%HOMEPATH%\desktop\glidescope_review_rev_010.docx.q9o5z1g
%HOMEPATH%\desktop\nwfieldnotes1966.docx.q9o5z1g
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.q9o5z1g
%HOMEPATH%\desktop\3.jpg.q9o5z1g
%HOMEPATH%\desktop\pushkin.jpg.q9o5z1g
%APPDATA%\icq-profile\update\vvlog.dat.q9o5z1g
%APPDATA%\thunderbird\profiles\wjj9aet2.default\virtualfolders.dat.q9o5z1g
%APPDATA%\adobe\acrobat\dc\preferences\defaultheuristics.dat.q9o5z1g
%LOCALAPPDATA%\microsoft\internet explorer\recovery\high\active\recoverystore.{8e55d4ec-921a-11e5-b42a-080027fcb322}.dat.q9o5z1g
%LOCALAPPDATA%\microsoft\windows\przt2.prz
%LOCALAPPDATA%\google\chrome\user data\default\databases\databases.db.q9o5z1g
%LOCALAPPDATA%\iconcache.db.q9o5z1g
%LOCALAPPDATA%\microsoft\windows\caches\cversions.1.db.q9o5z1g
%LOCALAPPDATA%\microsoft\windows\caches\{afbf9f1a-8ee8-4c77-af34-c647e37ca0d9}.1.ver0x0000000000000048.db.q9o5z1g
%LOCALAPPDATA%\microsoft\windows\caches\{afbf9f1a-8ee8-4c77-af34-c647e37ca0d9}.1.ver0x0000000000000049.db.q9o5z1g
%LOCALAPPDATA%\adobe\acrobat\dc\iconcacherdr.dat.q9o5z1g
%LOCALAPPDATA%\gdipfontcachev1.dat.q9o5z1g
%LOCALAPPDATA%\microsoft\internet explorer\domstore\index.dat.q9o5z1g
%LOCALAPPDATA%\microsoft\internet explorer\frameiconcache.dat.q9o5z1g
%LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat.q9o5z1g
%LOCALAPPDATA%\microsoft\internet explorer\recovery\high\active\{8e55d4ed-921a-11e5-b42a-080027fcb322}.dat.q9o5z1g
%APPDATA%\thunderbird\profiles\wjj9aet2.default\secmod.db.q9o5z1g
%LOCALAPPDATA%\microsoft\internet explorer\tabiconcache.dat.q9o5z1g
%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012015112320151124\index.dat.q9o5z1g
%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012016081820160819\index.dat.q9o5z1g
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\secmod.db.q9o5z1g
%APPDATA%\opera software\opera stable\databases\databases.db.q9o5z1g
%APPDATA%\opera software\opera stable\favorites.db.q9o5z1g
%APPDATA%\opera software\opera stable\session.db.q9o5z1g
%APPDATA%\opera software\opera stable\storage\ext\sync-login\def\databases\databases.db.q9o5z1g
%APPDATA%\opera software\opera stable\thumbnails.db.q9o5z1g
%APPDATA%\thunderbird\profiles\wjj9aet2.default\cert8.db.q9o5z1g
%APPDATA%\thunderbird\profiles\wjj9aet2.default\key3.db.q9o5z1g
%APPDATA%\adobe\acrobat\dc\preferences\autofilldefaults.dat.q9o5z1g
%HOMEPATH%\desktop\13.jpeg.q9o5z1g