Trojan.Encoder.31692

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\508softwareandos.doc

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\contosoroot_1.cer
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\dialmap.bmp
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\split.avi
%HOMEPATH%\desktop\weeklysheet1215.doc
%HOMEPATH%\desktop\sdksampleprivdeveloper.cer
%HOMEPATH%\desktop\pmd.cer
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\hanni_umami_chapter.doc

Изменения в файловой системе

Создает следующие файлы

C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dd56bf-readme.txt
%PROGRAMDATA%\microsoft\mf\dd56bf-readme.txt
%ProgramFiles(x86)%\pidgin\pixmaps\pidgin\dd56bf-readme.txt
%ProgramFiles(x86)%\adobe\acrobat reader dc\resource\saslprep\dd56bf-readme.txt
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\dd56bf-readme.txt
C:\far2\dd56bf-readme.txt
C:\totalcmd\dd56bf-readme.txt
%PROGRAMDATA%\microsoft\officesoftwareprotectionplatform\cache\dd56bf-readme.txt
C:\users\public\videos\sample videos\dd56bf-readme.txt
C:\users\public\recorded tv\sample media\dd56bf-readme.txt
C:\far2\documentation\eng\dd56bf-readme.txt
%ProgramFiles(x86)%\pidgin\sounds\purple\dd56bf-readme.txt
C:\far2\encyclopedia\dd56bf-readme.txt
%LOCALAPPDATA%\msfree inc\dd56bf-readme.txt
C:\users\public\pictures\sample pictures\dd56bf-readme.txt
C:\far2\fexcept\dd56bf-readme.txt
%CommonProgramFiles(x86)%\java\java update\dd56bf-readme.txt
C:\far2\addons\colors\dd56bf-readme.txt
C:\far2\addons\shell\dd56bf-readme.txt
C:\far2\addons\dd56bf-readme.txt
%HOMEPATH%\favorites\links\dd56bf-readme.txt
%HOMEPATH%\contacts\dd56bf-readme.txt
C:\users\public\libraries\dd56bf-readme.txt
%HOMEPATH%\dd56bf-readme.txt
%ProgramFiles(x86)%\adobe\acrobat reader dc\dd56bf-readme.txt
D:\dd56bf-readme.txt
%PROGRAMDATA%\microsoft\user account pictures\dd56bf-readme.txt
%HOMEPATH%\favorites\links for united states\dd56bf-readme.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm в %ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm.dd56bf
%ProgramFiles(x86)%\pidgin\sounds\purple\alert.wav в %ProgramFiles(x86)%\pidgin\sounds\purple\alert.wav.dd56bf
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest.dd56bf
%ProgramFiles(x86)%\adobe\acrobat reader dc\resource\saslprep\saslprepprofile_norm_bidi.spp в %ProgramFiles(x86)%\adobe\acrobat reader dc\resource\saslprep\saslprepprofile_norm_bidi.spp.dd56bf
%ProgramFiles(x86)%\pidgin\sounds\purple\login.wav в %ProgramFiles(x86)%\pidgin\sounds\purple\login.wav.dd56bf
%ProgramFiles(x86)%\pidgin\plugins\.dll в %ProgramFiles(x86)%\pidgin\plugins\.dll.dd56bf
%ProgramFiles(x86)%\pidgin\sounds\purple\logout.wav в %ProgramFiles(x86)%\pidgin\sounds\purple\logout.wav.dd56bf
%ProgramFiles(x86)%\pidgin\pixmaps\pidgin\arrow-down.xpm в %ProgramFiles(x86)%\pidgin\pixmaps\pidgin\arrow-down.xpm.dd56bf
%ProgramFiles(x86)%\pidgin\pixmaps\pidgin\arrow-up.xpm в %ProgramFiles(x86)%\pidgin\pixmaps\pidgin\arrow-up.xpm.dd56bf
%ProgramFiles(x86)%\pidgin\pixmaps\pidgin\arrow-right.xpm в %ProgramFiles(x86)%\pidgin\pixmaps\pidgin\arrow-right.xpm.dd56bf
%ProgramFiles(x86)%\pidgin\pixmaps\pidgin\arrow-left.xpm в %ProgramFiles(x86)%\pidgin\pixmaps\pidgin\arrow-left.xpm.dd56bf
%ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-0.bin в %ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-0.bin.dd56bf
%ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-1.bin в %ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-1.bin.dd56bf
%ProgramFiles(x86)%\qip 2012\unins000.msg в %ProgramFiles(x86)%\qip 2012\unins000.msg.dd56bf
%ProgramFiles(x86)%\opera\launcher.visualelementsmanifest.xml в %ProgramFiles(x86)%\opera\launcher.visualelementsmanifest.xml.dd56bf
%ProgramFiles(x86)%\pidgin\sounds\purple\receive.wav в %ProgramFiles(x86)%\pidgin\sounds\purple\receive.wav.dd56bf