Trojan.Encoder.31791

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\updates\mrttnccky

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\tileimage.bmp
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\contosoroot_1.cer

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\mrttnccky.exe
%TEMP%\tmp36d.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\mrttnccky.exe

Удаляет следующие файлы

%TEMP%\tmp36d.tmp

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\mRTtnCcKY" /XML "%TEMP%\tmp36D.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\m2dnmqud.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9DA9.tmp" "<Имя диска съемного носителя>:\CSC44769828C5DE46C883489F40B06CBDC.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\nusuyyht.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA00A.tmp" "<Имя диска съемного носителя>:\CSC3248A538437149909F387E6CD22D9C9B.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\vh0mctdi.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA1DF.tmp" "<Имя диска съемного носителя>:\CSC5C8B37B86A384BAFBA5CD840ED53F132.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\cnzcrin3.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA3D3.tmp" "<Имя диска съемного носителя>:\CSCFF7C20AD6BE045E58FC6ABB13F9C4ECB.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\wz0viwfx.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA6F0.tmp" "<Имя диска съемного носителя>:\CSCB3716BFD47314DA8A19CF2A861616824.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\chhgd5le.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA8C5.tmp" "<Имя диска съемного носителя>:\CSC32818422D50E424493918E6AD26112B.TMP"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\mRTtnCcKY" /XML "%TEMP%\tmp36D.tmp"
'%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\m2dnmqud.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9DA9.tmp" "<Имя диска съемного носителя>:\CSC44769828C5DE46C883489F40B06CBDC.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\nusuyyht.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA00A.tmp" "<Имя диска съемного носителя>:\CSC3248A538437149909F387E6CD22D9C9B.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\vh0mctdi.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA1DF.tmp" "<Имя диска съемного носителя>:\CSC5C8B37B86A384BAFBA5CD840ED53F132.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\cnzcrin3.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA3D3.tmp" "<Имя диска съемного носителя>:\CSCFF7C20AD6BE045E58FC6ABB13F9C4ECB.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\wz0viwfx.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA6F0.tmp" "<Имя диска съемного носителя>:\CSCB3716BFD47314DA8A19CF2A861616824.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\chhgd5le.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA8C5.tmp" "<Имя диска съемного носителя>:\CSC32818422D50E424493918E6AD26112B.TMP"