Trojan.Encoder.30889

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\regsvr32.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\2.jpeg
%HOMEPATH%\desktop\testee.cer
%HOMEPATH%\desktop\testcertificate.cer
%HOMEPATH%\desktop\split.avi
%HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
%HOMEPATH%\desktop\parnas_01.jpeg
%HOMEPATH%\desktop\ituneshelpunavailable.htm
%HOMEPATH%\desktop\iisstart.html
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
%HOMEPATH%\desktop\garden.htm
%HOMEPATH%\desktop\dialmap.bmp
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\default.bmp
%HOMEPATH%\desktop\dashborder_144.bmp
%HOMEPATH%\desktop\correct.avi
%HOMEPATH%\desktop\contoso_1.cer
%HOMEPATH%\desktop\browse.html
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\alert.htm
%HOMEPATH%\desktop\advice_process.htm
%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\about.html
%HOMEPATH%\desktop\about.htm
%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\4f0bf7ff71f28.jpeg
%HOMEPATH%\desktop\3.jpeg
%HOMEPATH%\desktop\tree_view.html
%HOMEPATH%\desktop\trivial-merge.htm

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\help.txt
%HOMEPATH%\contacts\1z0948-readme.txt
C:\users\public\videos\1z0948-readme.txt
C:\users\public\recorded tv\1z0948-readme.txt
C:\users\public\pictures\1z0948-readme.txt
C:\users\public\music\1z0948-readme.txt
C:\users\public\libraries\1z0948-readme.txt
C:\users\public\favorites\1z0948-readme.txt
C:\users\public\downloads\1z0948-readme.txt
C:\users\public\desktop\1z0948-readme.txt
%HOMEPATH%\documents\1z0948-readme.txt
C:\users\default\videos\1z0948-readme.txt
C:\users\default\saved games\1z0948-readme.txt
C:\users\default\pictures\1z0948-readme.txt
C:\users\default\music\1z0948-readme.txt
C:\users\default\links\1z0948-readme.txt
C:\users\default\favorites\1z0948-readme.txt
C:\users\default\downloads\1z0948-readme.txt
C:\users\public\documents\1z0948-readme.txt
C:\far2\plugins\editcase\1z0948-readme.txt
%HOMEPATH%\downloads\1z0948-readme.txt
%HOMEPATH%\favorites\microsoft websites\1z0948-readme.txt
%HOMEPATH%\favorites\links for united states\1z0948-readme.txt
%HOMEPATH%\favorites\links\1z0948-readme.txt
C:\users\public\videos\sample videos\1z0948-readme.txt
C:\users\public\recorded tv\sample media\1z0948-readme.txt
C:\users\public\pictures\sample pictures\1z0948-readme.txt
C:\users\public\music\sample music\1z0948-readme.txt
C:\far2\plugins\ftp\lib\1z0948-readme.txt
C:\users\default\documents\1z0948-readme.txt
%HOMEPATH%\desktop\1z0948-readme.txt
C:\far2\addons\colors\custom_highlighting\1z0948-readme.txt
%HOMEPATH%\voip\1z0948-readme.txt
%HOMEPATH%\videos\1z0948-readme.txt
%HOMEPATH%\searches\1z0948-readme.txt
%HOMEPATH%\saved games\1z0948-readme.txt
%HOMEPATH%\pictures\1z0948-readme.txt
%HOMEPATH%\music\1z0948-readme.txt
%HOMEPATH%\links\1z0948-readme.txt
C:\far2\addons\colors\default_highlighting\1z0948-readme.txt
%HOMEPATH%\favorites\1z0948-readme.txt
C:\users\default\desktop\1z0948-readme.txt
C:\far2\pluginsdk\headers.pas\1z0948-readme.txt
C:\far2\pluginsdk\headers.c\1z0948-readme.txt
C:\far2\fexcept\1z0948-readme.txt
C:\far2\addons\colors\1z0948-readme.txt
%HOMEPATH%\1z0948-readme.txt
C:\users\public\1z0948-readme.txt
C:\users\default\1z0948-readme.txt
C:\totalcmd\language\1z0948-readme.txt
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\1z0948-readme.txt
C:\far2\pluginsdk\1z0948-readme.txt
%HOMEPATH%\favorites\msn websites\1z0948-readme.txt
C:\far2\addons\setup\1z0948-readme.txt
C:\far2\encyclopedia\1z0948-readme.txt
C:\far2\documentation\1z0948-readme.txt
C:\far2\addons\1z0948-readme.txt
C:\users\1z0948-readme.txt
C:\totalcmd\1z0948-readme.txt
C:\recovery\1z0948-readme.txt
<Текущая директория>\1z0948-readme.txt
C:\far2\1z0948-readme.txt
C:\far2\plugins\1z0948-readme.txt
C:\far2\addons\xlat\russian\1z0948-readme.txt
C:\far2\addons\shell\1z0948-readme.txt
C:\far2\documentation\rus\1z0948-readme.txt
C:\far2\addons\xlat\1z0948-readme.txt
C:\far2\plugins\tmppanel\1z0948-readme.txt
C:\far2\plugins\proclist\1z0948-readme.txt
C:\far2\plugins\network\1z0948-readme.txt
C:\far2\plugins\macroview\1z0948-readme.txt
C:\far2\plugins\hlfviewer\1z0948-readme.txt
C:\far2\plugins\ftp\1z0948-readme.txt
C:\far2\plugins\filecase\1z0948-readme.txt
C:\far2\documentation\eng\1z0948-readme.txt
C:\far2\plugins\farcmds\1z0948-readme.txt
C:\far2\addons\macros\1z0948-readme.txt
C:\far2\plugins\drawline\1z0948-readme.txt
C:\far2\plugins\compare\1z0948-readme.txt
C:\far2\plugins\brackets\1z0948-readme.txt
C:\far2\plugins\autowrap\1z0948-readme.txt
C:\far2\plugins\arclite\1z0948-readme.txt
C:\far2\plugins\align\1z0948-readme.txt
C:\far2\encyclopedia\tap\1z0948-readme.txt
C:\far2\plugins\emenu\1z0948-readme.txt
%HOMEPATH%\favorites\windows live\1z0948-readme.txt

Перемещает следующие файлы

%HOMEPATH%\help.txt в %HOMEPATH%\help.txt.1z0948

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c vssadmin.exe Delete Shadows /All /Quiet & bcdedit /set {default} recoveryenabled No & bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\regsvr32.exe'
'%WINDIR%\syswow64\cmd.exe' /c vssadmin.exe Delete Shadows /All /Quiet & bcdedit /set {default} recoveryenabled No & bcdedit /set {default} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\vssvc.exe'