Trojan.Encoder.31686

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'

Вредоносные функции

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра

[<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

удаляет теневые копии разделов.

Изменения в файловой системе

Создает следующие файлы

D:\how_to_decrypt_my_files.txt
C:\far2\plugins\brackets\how_to_decrypt_my_files.txt
C:\far2\plugins\compare\how_to_decrypt_my_files.txt
C:\far2\plugins\drawline\how_to_decrypt_my_files.txt
C:\far2\plugins\editcase\how_to_decrypt_my_files.txt
C:\far2\plugins\emenu\how_to_decrypt_my_files.txt
C:\far2\plugins\farcmds\how_to_decrypt_my_files.txt
C:\far2\plugins\ftp\how_to_decrypt_my_files.txt
C:\far2\addons\macros\how_to_decrypt_my_files.txt
C:\far2\plugins\hlfviewer\how_to_decrypt_my_files.txt
C:\far2\plugins\macroview\how_to_decrypt_my_files.txt
C:\far2\plugins\network\how_to_decrypt_my_files.txt
C:\far2\plugins\proclist\how_to_decrypt_my_files.txt
C:\far2\plugins\tmppanel\how_to_decrypt_my_files.txt
C:\far2\pluginsdk\headers.c\how_to_decrypt_my_files.txt
C:\far2\plugins\autowrap\how_to_decrypt_my_files.txt
C:\far2\plugins\arclite\how_to_decrypt_my_files.txt
C:\far2\plugins\align\how_to_decrypt_my_files.txt
C:\far2\encyclopedia\tap\how_to_decrypt_my_files.txt
C:\far2\documentation\rus\how_to_decrypt_my_files.txt
C:\far2\documentation\eng\how_to_decrypt_my_files.txt
C:\far2\addons\xlat\how_to_decrypt_my_files.txt
C:\far2\addons\shell\how_to_decrypt_my_files.txt
C:\far2\addons\setup\how_to_decrypt_my_files.txt
C:\far2\plugins\filecase\how_to_decrypt_my_files.txt
C:\far2\addons\colors\how_to_decrypt_my_files.txt
C:\totalcmd\language\how_to_decrypt_my_files.txt
C:\far2\fexcept\how_to_decrypt_my_files.txt
C:\far2\encyclopedia\how_to_decrypt_my_files.txt
C:\far2\addons\how_to_decrypt_my_files.txt
C:\totalcmd\how_to_decrypt_my_files.txt
C:\far2\how_to_decrypt_my_files.txt
C:\far2\pluginsdk\headers.pas\how_to_decrypt_my_files.txt
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\how_to_decrypt_my_files.txt

Сетевая активность

TCP

Запросы HTTP GET

/START_ via 19#.#4.227.126

Другое

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} bootstatuspolicy ignoreallfailures' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} recoveryenabled no' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c netsh advfirewall set allprofiles state off' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet
'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} recoveryenabled no
'<SYSTEM32>\cmd.exe' /c netsh advfirewall set allprofiles state off
'<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off
'<SYSTEM32>\bcdedit.exe' /set {current} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\vssvc.exe'
'<SYSTEM32>\svchost.exe' -k swprv