Trojan.Encoder.31944

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'MNZartugV' = '%APPDATA%\coronavirus.exe'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows Update Assistant' = '"%APPDATA%\winupas.exe" *'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\jfgp7zj
<SYSTEM32>\tasks\nyhhnkywfqce

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\я
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx
<Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx
<Имя диска съемного носителя>:\waterresourcesag.pptx
<Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
<Имя диска съемного носителя>:\notepad.exe
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe
<Имя диска съемного носителя>:\chromesetup.exe
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\utorrent.exe
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\weeklysheet1215.doc
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\how to recover encrypted files.txt
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\asaprojectcompetition.pptx
<Имя диска съемного носителя>:\roozenedowebinar.pptx

Изменения в файловой системе

Создает следующие файлы

%TEMP%\kernal.exe
%TEMP%\system.exe
%APPDATA%\coronavirus.exe
%APPDATA%\chost.exe
%APPDATA%\curl.exe
%APPDATA%\svchost.exe
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
%TEMP%\$tmp$001.exe
%APPDATA%\winupas.exe

Удаляет следующие файлы

%TEMP%\kernal.exe
%TEMP%\system.exe
%APPDATA%\coronavirus.exe
%APPDATA%\chost.exe
%APPDATA%\svchost.exe
<Имя диска съемного носителя>:\я

Подменяет следующие файлы

%APPDATA%\coronavirus.exe

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

TCP

Запросы HTTP GET

http://ip###ger.org/1tqvp7
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

'ip###ger.org':443

UDP

DNS ASK google-public-dns-a.google.com
DNS ASK ip###ger.org
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\kernal.exe' -s -pdfgsrdgersfgersfgrsdrg
'%TEMP%\system.exe'
'%TEMP%\system.exe' runas
'%APPDATA%\chost.exe' -s -pdfgsrdgersfgersfgrsdrg
'%APPDATA%\svchost.exe'
'%TEMP%\$tmp$001.exe'
'%APPDATA%\winupas.exe' *
'%WINDIR%\syswow64\cmd.exe' /c copy /y "%TEMP%\system.exe" "%APPDATA%\coronavirus.exe"' (со скрытым окном)
'%WINDIR%\syswow64\mshta.exe' "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('system.exe');close()}catch(e){}},10);"' (со скрытым окном)
'%WINDIR%\syswow64\mshta.exe' "javascript:o=new ActiveXObject('WScript.Shell');x=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{i=x.GetFile('coronavirus.exe').Path;o.RegWrite('HKCU\\Software\\Mic...' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c copy "%TEMP%\$TMP$001.exe" "%APPDATA%\winupas.exe" & reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Windows Update Assistant" /t REG_SZ /F /D "\"%APPDATA%\winupas.exe\" *" ...' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c copy /y "%TEMP%\system.exe" "%APPDATA%\coronavirus.exe"
'%WINDIR%\syswow64\mshta.exe' "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('system.exe');close()}catch(e){}},10);"
'%WINDIR%\syswow64\mshta.exe' "javascript:o=new ActiveXObject('WScript.Shell');x=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{i=x.GetFile('coronavirus.exe').Path;o.RegWrite('HKCU\\Software\\Mic...
'%WINDIR%\syswow64\cmd.exe' /c copy "%TEMP%\$TMP$001.exe" "%APPDATA%\winupas.exe" & reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Windows Update Assistant" /t REG_SZ /F /D "\"%APPDATA%\winupas.exe\" *" ...
'%WINDIR%\syswow64\reg.exe' add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Windows Update Assistant" /t REG_SZ /F /D "\"%APPDATA%\winupas.exe\" *"