Trojan.Encoder.32053

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\archer.avi

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\advice_process.htm
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\tree_view.htm
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\pmd.cer
%HOMEPATH%\desktop\sdksampleprivdeveloper.cer
%HOMEPATH%\desktop\ituneshelpunavailable.html
%HOMEPATH%\desktop\trivial-merge.htm
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
%HOMEPATH%\desktop\dialmap.bmp
%HOMEPATH%\desktop\default.bmp
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\browse.html
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\parnas_01.jpeg

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ctgvid2b.0.cs
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\be4fd1-readme.txt
%HOMEPATH%\desktop\be4fd1-readme.txt
D:\be4fd1-readme.txt
%TEMP%\nsmptdwc.dll
%TEMP%\resdf81.tmp
%TEMP%\cscdf70.tmp
%HOMEPATH%\contacts\be4fd1-readme.txt
%TEMP%\nsmptdwc.out
%TEMP%\nsmptdwc.0.cs
%TEMP%\ctgvid2b.dll
%TEMP%\resdcd1.tmp
%TEMP%\cscdcc1.tmp
%TEMP%\ctgvid2b.out
%TEMP%\ctgvid2b.cmdline
%TEMP%\nsmptdwc.cmdline
%HOMEPATH%\favorites\links\be4fd1-readme.txt

Удаляет следующие файлы

%TEMP%\resdcd1.tmp
%TEMP%\cscdcc1.tmp
%TEMP%\ctgvid2b.0.cs
%TEMP%\ctgvid2b.pdb
%TEMP%\ctgvid2b.out
%TEMP%\ctgvid2b.dll
%TEMP%\ctgvid2b.cmdline
%TEMP%\resdf81.tmp
%TEMP%\cscdf70.tmp
%TEMP%\nsmptdwc.0.cs
%TEMP%\nsmptdwc.out
%TEMP%\nsmptdwc.cmdline
%TEMP%\nsmptdwc.dll
%TEMP%\nsmptdwc.pdb

Перемещает следующие файлы

%ProgramFiles(x86)%\opera\resources.pri в %ProgramFiles(x86)%\opera\resources.pri.be4fd1
%ProgramFiles(x86)%\qip 2012\unins000.dat в %ProgramFiles(x86)%\qip 2012\unins000.dat.be4fd1
%ProgramFiles(x86)%\k-lite codec pack\unins000.dat в %ProgramFiles(x86)%\k-lite codec pack\unins000.dat.be4fd1
%ProgramFiles(x86)%\winamp\whatsnew.txt в %ProgramFiles(x86)%\winamp\whatsnew.txt.be4fd1
%ProgramFiles(x86)%\opera\installation_status.xml в %ProgramFiles(x86)%\opera\installation_status.xml.be4fd1
%ProgramFiles(x86)%\steam\libav_h264-56.dll.crypt в %ProgramFiles(x86)%\steam\libav_h264-56.dll.crypt.be4fd1
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\adobe.reader.dependencies.manifest.be4fd1
%ProgramFiles(x86)%\qip 2012\unins000.msg в %ProgramFiles(x86)%\qip 2012\unins000.msg.be4fd1
%ProgramFiles(x86)%\mirc\ircintro.chm в %ProgramFiles(x86)%\mirc\ircintro.chm.be4fd1
%ProgramFiles(x86)%\mirc\versions.txt в %ProgramFiles(x86)%\mirc\versions.txt.be4fd1
%ProgramFiles(x86)%\microsoft office\office10\trigram.lex в %ProgramFiles(x86)%\microsoft office\office10\trigram.lex.be4fd1
%ProgramFiles(x86)%\winamp\pconfig.dcf в %ProgramFiles(x86)%\winamp\pconfig.dcf.be4fd1
%ProgramFiles(x86)%\winamp\paths.ini в %ProgramFiles(x86)%\winamp\paths.ini.be4fd1
%ProgramFiles(x86)%\steam\libx264-142.dll.md5 в %ProgramFiles(x86)%\steam\libx264-142.dll.md5.be4fd1
%ProgramFiles(x86)%\microsoft office\office14\1033\vbaows10.chm в %ProgramFiles(x86)%\microsoft office\office14\1033\vbaows10.chm.be4fd1
%ProgramFiles(x86)%\opera\installer_prefs.json в %ProgramFiles(x86)%\opera\installer_prefs.json.be4fd1
%ProgramFiles(x86)%\opera\server_tracking_data в %ProgramFiles(x86)%\opera\server_tracking_data.be4fd1
%ProgramFiles(x86)%\winamp\install.ini в %ProgramFiles(x86)%\winamp\install.ini.be4fd1
%ProgramFiles(x86)%\opera\launcher.visualelementsmanifest.xml в %ProgramFiles(x86)%\opera\launcher.visualelementsmanifest.xml.be4fd1
%ProgramFiles(x86)%\mirc\readme.txt в %ProgramFiles(x86)%\mirc\readme.txt.be4fd1
%ProgramFiles(x86)%\steam\libx264-142.dll.crypt в %ProgramFiles(x86)%\steam\libx264-142.dll.crypt.be4fd1
%ProgramFiles(x86)%\mirc\mirc.chm в %ProgramFiles(x86)%\mirc\mirc.chm.be4fd1

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ctgvid2b.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDCD1.tmp" "%TEMP%\CSCDCC1.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nsmptdwc.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDF81.tmp" "%TEMP%\CSCDF70.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ctgvid2b.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDCD1.tmp" "%TEMP%\CSCDCC1.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nsmptdwc.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDF81.tmp" "%TEMP%\CSCDF70.tmp"
'<SYSTEM32>\vssvc.exe'