Trojan.Encoder.31000

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\EncriptIDfile\Shell\Open\Command] '' = '%WINDIR%\SysWOW64\mshta.exe "%C:\Decoder.hta"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Autorun.SQL' = '%WINDIR%\svhost.exe'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\decoder.hta
<Имя диска съемного носителя>:\middaugh_keynote.pptx
<Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
<Имя диска съемного носителя>:\waterresourcesag.pptx
<Имя диска съемного носителя>:\indogerman2010.pptx
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx
<Имя диска съемного носителя>:\wrar520.exe
<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\lisp_success.doc
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\tileimage.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx
<Имя диска съемного носителя>:\roozenedowebinar.pptx

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\decoder.hta
%ProgramFiles(x86)%\mozilla thunderbird\decoder.hta
%ProgramFiles(x86)%\internet explorer\decoder.hta
D:\$recycle.bin\decoder.hta
C:\totalcmd\decoder.hta
C:\recovery\decoder.hta
%PROGRAMDATA%\decoder.hta
%ProgramFiles(x86)%\decoder.hta
%ProgramFiles%\decoder.hta
C:\perflogs\decoder.hta
C:\documents and settings\decoder.hta
C:\$recycle.bin\decoder.hta
D:\decoder.hta
C:\decoder.hta
%WINDIR%\delog.bat
%WINDIR%\svhost.exe
%ProgramFiles(x86)%\windows defender\decoder.hta
%ProgramFiles%\ashmaisv\decoder.hta

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\svhost.exe

Перемещает следующие файлы

%ProgramFiles%\ashpopwz\ashpopwz.exe в %ProgramFiles%\ashpopwz\ashpopwz.exe.[id]siqmaatx4yxd8lk0y[id]
%ProgramFiles%\ashserv\ashserv.exe в %ProgramFiles%\ashserv\ashserv.exe.[id]siqmaatx4yxd8lk0y[id]
%ProgramFiles%\ashsimp2\ashsimp2.exe в %ProgramFiles%\ashsimp2\ashsimp2.exe.[id]siqmaatx4yxd8lk0y[id]
%ProgramFiles%\ashmaisv\ashmaisv.exe в %ProgramFiles%\ashmaisv\ashmaisv.exe.[id]siqmaatx4yxd8lk0y[id]
%ProgramFiles(x86)%\mozilla thunderbird\accessiblemarshal.dll в %ProgramFiles(x86)%\mozilla thunderbird\accessiblemarshal.dll.[id]siqmaatx4yxd8lk0y[id]
%ProgramFiles(x86)%\mozilla thunderbird\thunderbird.exe в %ProgramFiles(x86)%\mozilla thunderbird\thunderbird.exe.[id]siqmaatx4yxd8lk0y[id]
%ProgramFiles(x86)%\mozilla thunderbird\platform.ini в %ProgramFiles(x86)%\mozilla thunderbird\platform.ini.[id]siqmaatx4yxd8lk0y[id]

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

TCP