Trojan.Encoder.31265

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx
<Имя диска съемного носителя>:\waterresourcesag.pptx
<Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
<Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx
<Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
<Имя диска съемного носителя>:\nwfieldnotes1966.docx
<Имя диска съемного носителя>:\holycrosschurchinstructions.docx
<Имя диска съемного носителя>:\issi2013_template_for_posters.docx
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
<Имя диска съемного носителя>:\indogerman2010.pptx

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)

блокирует:

Средство контроля пользовательских учетных записей (UAC)

удаляет теневые копии разделов.

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' firewall set opmode disable

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\issi2013_template_for_posters.docx
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\split.avi
%HOMEPATH%\desktop\tileimage.bmp
%HOMEPATH%\desktop\toolbar.bmp

Изменения в файловой системе

Создает следующие файлы

<DRIVERS>\etc\host
%PROGRAMDATA%\data
%APPDATA%\microsoft\windows\recent\how do i recover my files (readme).txt
%HOMEPATH%\pictures\how do i recover my files (readme).txt
%HOMEPATH%\music\how do i recover my files (readme).txt
%HOMEPATH%\videos\how do i recover my files (readme).txt
%HOMEPATH%\documents\how do i recover my files (readme).txt
%HOMEPATH%\downloads\how do i recover my files (readme).txt
%HOMEPATH%\desktop\how do i recover my files (readme).txt
%HOMEPATH%\favorites\how do i recover my files (readme).txt
%PROGRAMDATA%\microsoft\windows\start menu\how do i recover my files (readme).txt
C:\how do i recover my files (readme).txt
D:\how do i recover my files (readme).txt

Перемещает следующие файлы

%PROGRAMDATA%\data в %PROGRAMDATA%\data.mz173801
%APPDATA%\microsoft\windows\recent\activator.lnk в %APPDATA%\microsoft\windows\recent\activator.lnk.mz173801

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

TCP

Запросы HTTP GET

http://ap#.#pify.org/
http://ap#.#b-ip.com/v2/free/95.211.190.198/ipAddress
http://ap#.#b-ip.com/v2/free/95.211.190.198/continentCode
http://ap#.#b-ip.com/v2/free/95.211.190.198/continentName
http://ap#.#b-ip.com/v2/free/95.211.190.198/countryCode
http://ap#.#b-ip.com/v2/free/95.211.190.198/countryName
http://ap#.#b-ip.com/v2/free/95.211.190.198/stateProv
http://ap#.#b-ip.com/v2/free/95.211.190.198/city

UDP

DNS ASK ap#.#pify.org
DNS ASK ap#.#b-ip.com

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C netsh firewall set opmode disable' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -e RwBlAHQALQBXAG0AaQBPAGIAagBlAGMAdAAgAFcAaQBuADMAMgBfAFMAaABhAGQAbwB3AGMAbwBwAHkAIAB8ACAARgBvAHIARQBhAGMAaAAtAE8AYgBqAGUAYwB0ACAAewAkAF8ALgBEAGUAbABlAHQAZQAoACkAOwB9AA==' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog ...' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C netsh firewall set opmode disable
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -e RwBlAHQALQBXAG0AaQBPAGIAagBlAGMAdAAgAFcAaQBuADMAMgBfAFMAaABhAGQAbwB3AGMAbwBwAHkAIAB8ACAARgBvAHIARQBhAGMAaAAtAE8AYgBqAGUAYwB0ACAAewAkAF8ALgBEAGUAbABlAHQAZQAoACkAOwB9AA==
'%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog ...
'<SYSTEM32>\vssvc.exe'