Trojan.Encoder.32092

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\roozenedowebinar.pptx
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx
<Имя диска съемного носителя>:\middaugh_keynote.pptx
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx
<Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx

Изменения в файловой системе

Создает следующие файлы

%TEMP%\sgii1muq.0.cs
%TEMP%\sgii1muq.cmdline
%TEMP%\sgii1muq.out
%TEMP%\csccbdd.tmp
%TEMP%\rescbfd.tmp
%TEMP%\sgii1muq.dll
%TEMP%\1d8uyhql.0.cs
%TEMP%\1d8uyhql.cmdline
%TEMP%\1d8uyhql.out
%TEMP%\csccf77.tmp
%TEMP%\rescf88.tmp
%TEMP%\1d8uyhql.dll

Удаляет следующие файлы

%TEMP%\rescbfd.tmp
%TEMP%\csccbdd.tmp
%TEMP%\sgii1muq.out
%TEMP%\sgii1muq.dll
%TEMP%\sgii1muq.0.cs
%TEMP%\sgii1muq.pdb
%TEMP%\sgii1muq.cmdline
%TEMP%\rescf88.tmp
%TEMP%\csccf77.tmp
%TEMP%\1d8uyhql.out
%TEMP%\1d8uyhql.dll
%TEMP%\1d8uyhql.cmdline
%TEMP%\1d8uyhql.0.cs
%TEMP%\1d8uyhql.pdb

Перемещает следующие файлы

%ProgramFiles(x86)%\k-lite codec pack\unins000.dat в %ProgramFiles(x86)%\k-lite codec pack\unins000.dat.52fad1
%ProgramFiles(x86)%\steam\libx264-142.dll.crypt в %ProgramFiles(x86)%\steam\libx264-142.dll.crypt.52fad1
%ProgramFiles(x86)%\steam\libav_h264-56.dll.crypt в %ProgramFiles(x86)%\steam\libav_h264-56.dll.crypt.52fad1
%ProgramFiles(x86)%\steam\libav_h264-56.dll.md5 в %ProgramFiles(x86)%\steam\libav_h264-56.dll.md5.52fad1
%ProgramFiles(x86)%\mirc\mirc.chm в %ProgramFiles(x86)%\mirc\mirc.chm.52fad1
%ProgramFiles(x86)%\mirc\ircintro.chm в %ProgramFiles(x86)%\mirc\ircintro.chm.52fad1
%ProgramFiles(x86)%\qip 2012\unins000.msg в %ProgramFiles(x86)%\qip 2012\unins000.msg.52fad1
%ProgramFiles(x86)%\qip 2012\unins000.dat в %ProgramFiles(x86)%\qip 2012\unins000.dat.52fad1
%ProgramFiles(x86)%\mirc\versions.txt в %ProgramFiles(x86)%\mirc\versions.txt.52fad1
%ProgramFiles(x86)%\opera\installation_status.xml в %ProgramFiles(x86)%\opera\installation_status.xml.52fad1
%ProgramFiles(x86)%\mirc\readme.txt в %ProgramFiles(x86)%\mirc\readme.txt.52fad1
%ProgramFiles(x86)%\opera\resources.pri в %ProgramFiles(x86)%\opera\resources.pri.52fad1
%ProgramFiles(x86)%\opera\server_tracking_data в %ProgramFiles(x86)%\opera\server_tracking_data.52fad1
%ProgramFiles(x86)%\opera\launcher.visualelementsmanifest.xml в %ProgramFiles(x86)%\opera\launcher.visualelementsmanifest.xml.52fad1
%ProgramFiles(x86)%\opera\installer_prefs.json в %ProgramFiles(x86)%\opera\installer_prefs.json.52fad1
%ProgramFiles(x86)%\msbuild\microsoft.office.infopath.targets в %ProgramFiles(x86)%\msbuild\microsoft.office.infopath.targets.52fad1
%ProgramFiles(x86)%\steam\libx264-142.dll.md5 в %ProgramFiles(x86)%\steam\libx264-142.dll.md5.52fad1
%ProgramFiles(x86)%\winamp\install.ini в %ProgramFiles(x86)%\winamp\install.ini.52fad1

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sgii1muq.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCBFD.tmp" "%TEMP%\CSCCBDD.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1d8uyhql.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCF88.tmp" "%TEMP%\CSCCF77.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sgii1muq.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCBFD.tmp" "%TEMP%\CSCCBDD.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1d8uyhql.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCF88.tmp" "%TEMP%\CSCCF77.tmp"