Trojan.Encoder.30984

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows Session Manager' = '%HOMEPATH%\ntoskrnl.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\windows session manager

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\weeklysheet1215.doc
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\tileimage.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\applicantform_en.doc

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\install.bat
C:\far2\documentation\how to decrypt files.hta
C:\far2\encyclopedia\tap\how to decrypt files.txt
C:\far2\encyclopedia\tap\how to decrypt files.hta
C:\far2\encyclopedia\how to decrypt files.txt
C:\far2\encyclopedia\how to decrypt files.hta
C:\far2\fexcept\how to decrypt files.txt
C:\far2\fexcept\how to decrypt files.hta
C:\far2\plugins\align\how to decrypt files.txt
C:\far2\documentation\rus\how to decrypt files.hta
C:\far2\documentation\how to decrypt files.txt
C:\far2\plugins\align\how to decrypt files.hta
C:\far2\plugins\autowrap\how to decrypt files.txt
C:\far2\plugins\autowrap\how to decrypt files.hta
C:\far2\plugins\brackets\how to decrypt files.txt
C:\far2\plugins\brackets\how to decrypt files.hta
C:\far2\plugins\compare\how to decrypt files.txt
C:\far2\plugins\compare\how to decrypt files.hta
C:\far2\plugins\drawline\how to decrypt files.txt
C:\far2\plugins\drawline\how to decrypt files.hta
C:\far2\plugins\arclite\how to decrypt files.txt
C:\far2\plugins\arclite\how to decrypt files.hta
C:\far2\documentation\rus\how to decrypt files.txt
C:\far2\documentation\eng\how to decrypt files.hta
C:\far2\documentation\eng\how to decrypt files.txt
D:\how to decrypt files.txt
D:\how to decrypt files.hta
C:\far2\addons\colors\custom_highlighting\how to decrypt files.txt
C:\far2\addons\colors\custom_highlighting\how to decrypt files.hta
C:\far2\addons\colors\default_highlighting\how to decrypt files.txt
C:\far2\addons\colors\default_highlighting\how to decrypt files.hta
C:\far2\addons\colors\how to decrypt files.txt
C:\far2\addons\colors\how to decrypt files.hta
C:\far2\addons\macros\how to decrypt files.txt
%HOMEPATH%\log.txt
C:\far2\addons\macros\how to decrypt files.hta
C:\far2\addons\setup\how to decrypt files.hta
C:\far2\addons\shell\how to decrypt files.txt
C:\far2\addons\shell\how to decrypt files.hta
C:\far2\addons\xlat\russian\how to decrypt files.txt
C:\far2\addons\xlat\russian\how to decrypt files.hta
C:\far2\addons\xlat\how to decrypt files.txt
C:\far2\addons\xlat\how to decrypt files.hta
C:\far2\addons\how to decrypt files.txt
C:\far2\addons\how to decrypt files.hta
C:\far2\addons\setup\how to decrypt files.txt
C:\far2\plugins\editcase\how to decrypt files.txt
C:\far2\plugins\editcase\how to decrypt files.hta

Самоперемещается

из <Полный путь к файлу> в %HOMEPATH%\ntoskrnl.exe

Создает файлы с требованием оплатить расшифровку файлов (Trojan.Encoder).

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

TCP

Запросы HTTP POST

http://88.##4.27.84/new/d3009a2110
http://88.##4.27.84/info/d3009a2110

UDP

DNS ASK 1.##.#.10.in-addr.arpa

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%HOMEPATH%\install.bat" "' (со скрытым окном)
'%HOMEPATH%\ntoskrnl.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%HOMEPATH%\install.bat" "
'%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /TN "Windows Session Manager" /TR "%HOMEPATH%\ntoskrnl.exe" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Windows Session Manager" /t REG_SZ /d "%HOMEPATH%\ntoskrnl.exe" /f
'<SYSTEM32>\taskeng.exe' {7E500CD7-F285-4B37-9647-51C76C2EAEC5} S-1-5-21-1960123792-2022915161-3775307078-1001:xguqttyzhbv\user:Interactive:[1]