Trojan.Encoder.31550

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\] 'unlock' = '"c:\Decoding help.hta"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\] 'searchfiles' = '%WINDIR%\searchfiles.exe'
[<HKLM>\Software\Classes\.[ID]gLG5jxDED63TFGq2[ID]\shell\open\command] '' = '%WINDIR%\SysWow64\mshta.exe "c:\Decoding help.hta"'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\decoding help.hta
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\tileimage.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\default.bmp

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\searchfiles.exe
%CommonProgramFiles(x86)%\system\decoding help.hta
%CommonProgramFiles%\microsoft shared\officesoftwareprotectionplatform\decoding help.hta
%CommonProgramFiles(x86)%\microsoft shared\office10\decoding help.hta
%CommonProgramFiles(x86)%\microsoft shared\help\decoding help.hta
%ProgramFiles(x86)%\k-lite codec pack\decoding help.hta
%ProgramFiles(x86)%\pidgin\decoding help.hta
C:\totalcmd\decoding help.hta
%CommonProgramFiles(x86)%\microsoft shared\information retrieval\decoding help.hta
%ProgramFiles(x86)%\qip 2012\decoding help.hta
%ProgramFiles(x86)%\windows media player\decoding help.hta
%ProgramFiles(x86)%\opera\decoding help.hta
%ProgramFiles%\aimpro\decoding help.hta
%ProgramFiles%\almon\decoding help.hta
%ProgramFiles%\alsvc\decoding help.hta
%ProgramFiles(x86)%\windows media player\en-us\decoding help.hta
%ProgramFiles(x86)%\mirc\defaults\decoding help.hta
%ProgramFiles(x86)%\winamp\decoding help.hta
%ProgramFiles(x86)%\mirc\decoding help.hta
%ProgramFiles(x86)%\internet explorer\decoding help.hta
%CommonProgramFiles(x86)%\microsoft shared\dao\decoding help.hta
%CommonProgramFiles(x86)%\microsoft shared\ink\decoding help.hta
%PROGRAMDATA%\microsoft\officesoftwareprotectionplatform\cache\decoding help.hta
%WINDIR%\ncler.txt
D:\decoding help.hta
C:\decoding help.hta
D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\decoding help.hta
<Текущая директория>\decoding help.hta
%ProgramFiles(x86)%\decoding help.hta
C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\decoding help.hta
%ProgramFiles(x86)%\adobe\acrobat reader dc\decoding help.hta
%PROGRAMDATA%\microsoft\officesoftwareprotectionplatform\decoding help.hta
%CommonProgramFiles(x86)%\steam\decoding help.hta
%ProgramFiles%\ahnsd\decoding help.hta
%PROGRAMDATA%\decoding help.hta
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\decoding help.hta
%ProgramFiles(x86)%\adobe\acrobat reader dc\esl\decoding help.hta
%CommonProgramFiles%\services\decoding help.hta
%ProgramFiles%\aim6\decoding help.hta
%ProgramFiles%\decoding help.hta
%ProgramFiles(x86)%\adobe\acrobat reader dc\resource\decoding help.hta
%CommonProgramFiles(x86)%\services\decoding help.hta
%ProgramFiles(x86)%\mozilla firefox\decoding help.hta

Перемещает следующие файлы

%ProgramFiles(x86)%\desktop.ini в %ProgramFiles(x86)%\desktop.ini.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\pidgin\libnspr4.dll в %ProgramFiles(x86)%\pidgin\libnspr4.dll.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\pidgin\libmeanwhile-1.dll в %ProgramFiles(x86)%\pidgin\libmeanwhile-1.dll.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\pidgin\libjabber.dll в %ProgramFiles(x86)%\pidgin\libjabber.dll.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\pidgin\freebl3.dll в %ProgramFiles(x86)%\pidgin\freebl3.dll.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\k-lite codec pack\unins000.exe в %ProgramFiles(x86)%\k-lite codec pack\unins000.exe.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\pidgin\exchndl.dll в %ProgramFiles(x86)%\pidgin\exchndl.dll.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\pidgin\liboscar.dll в %ProgramFiles(x86)%\pidgin\liboscar.dll.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\k-lite codec pack\unins000.dat в %ProgramFiles(x86)%\k-lite codec pack\unins000.dat.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\1494870c-9912-c184-4cc9-b401-a53f4d8de290.pdf в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\1494870c-9912-c184-4cc9-b401-a53f4d8de290.pdf.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\adobe\acrobat reader dc\resource\enutxt.pdf в %ProgramFiles(x86)%\adobe\acrobat reader dc\resource\enutxt.pdf.[id]glg5jxded63tfgq2[id]
%ProgramFiles%\desktop.ini в %ProgramFiles%\desktop.ini.[id]glg5jxded63tfgq2[id]
%ProgramFiles%\aim6\aim6.exe в %ProgramFiles%\aim6\aim6.exe.[id]glg5jxded63tfgq2[id]
%ProgramFiles%\ahnsd\ahnsd.exe в %ProgramFiles%\ahnsd\ahnsd.exe.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm в %ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm.[id]glg5jxded63tfgq2[id]
%ProgramFiles(x86)%\adobe\acrobat reader dc\esl\aiodlite.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\esl\aiodlite.dll.[id]glg5jxded63tfgq2[id]
%ProgramFiles%\aimpro\aimpro.exe в %ProgramFiles%\aimpro\aimpro.exe.[id]glg5jxded63tfgq2[id]