Trojan.Encoder.32192

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\tileimage.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\contoso_1.cer

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

удаляет теневые копии разделов.

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /T /IM wxServer*
'<SYSTEM32>\taskkill.exe' /F /T /IM Intuit.QuickBooks.FCS*
'<SYSTEM32>\taskkill.exe' /F /T /IM QBIDPService*
'<SYSTEM32>\taskkill.exe' /F /T /IM sqlbrowser*
'<SYSTEM32>\taskkill.exe' /F /T /IM RTVscan*
'<SYSTEM32>\taskkill.exe' /F /T /IM Culserver*
'<SYSTEM32>\taskkill.exe' /F /T /IM sqladhlp*
'<SYSTEM32>\taskkill.exe' /F /T /IM sqlagent*
'<SYSTEM32>\taskkill.exe' /F /T /IM Sqlservr*
'<SYSTEM32>\taskkill.exe' /F /T /IM SavRoam*
'<SYSTEM32>\taskkill.exe' /F /T /IM ccSetMgr*
'<SYSTEM32>\taskkill.exe' /F /T /IM ccEvtMgr*
'<SYSTEM32>\taskkill.exe' /F /T /IM wrapper*
'<SYSTEM32>\taskkill.exe' /F /T /IM ONENOTEM*
'<SYSTEM32>\taskkill.exe' /F /T /IM fbserver*
'<SYSTEM32>\taskkill.exe' /F /T /IM fbguard*
'<SYSTEM32>\taskkill.exe' /F /T /IM Simply.SystemTrayIcon*
'<SYSTEM32>\taskkill.exe' /F /T /IM SimplyConnectionManager*
'<SYSTEM32>\taskkill.exe' /F /T /IM QBCFMonitorService*
'<SYSTEM32>\taskkill.exe' /F /T /IM sqlwriter*
'<SYSTEM32>\taskkill.exe' /F /T /IM msmdsrv*
'<SYSTEM32>\taskkill.exe' /F /T /IM tomcat6*
'<SYSTEM32>\taskkill.exe' /F /T /IM MSSQLFDLauncher$SHAREPOINT*
'<SYSTEM32>\taskkill.exe' /F /T /IM MSSQLFDLauncher$SBSMONITORING*
'<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$SHAREPOINT*
'<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$SBSMONITORING*
'<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$MICROSOFT##SSEE*
'<SYSTEM32>\taskkill.exe' /F /T /IM msftesql-Exchange*
'<SYSTEM32>\taskkill.exe' /F /T /IM SQLAgent$KAV_CS_ADMIN_KIT*
'<SYSTEM32>\taskkill.exe' /F /T /IM MSSQLServerADHelper100*
'<SYSTEM32>\taskkill.exe' /F /T /IM MySQL57*
'<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$KAV_CS_ADMIN_KIT*
'<SYSTEM32>\taskkill.exe' /F /T /IM FishbowlMySQL*
'<SYSTEM32>\taskkill.exe' /F /T /IM SQLAgent$VEEAMSQL2012*
'<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$VEEAMSQL2012*
'<SYSTEM32>\taskkill.exe' /F /T /IM MSSQL$MICROSOFT##WID*
'<SYSTEM32>\taskkill.exe' /F /T /IM dbeng8*
'<SYSTEM32>\taskkill.exe' /F /T /IM dbsrv12*
'<SYSTEM32>\taskkill.exe' /F /T /IM vmware-converter*
'<SYSTEM32>\taskkill.exe' /F /T /IM vmware-usbarbitator64*
'<SYSTEM32>\taskkill.exe' /F /T /IM SQLAgent$SBSMONITORING*
'<SYSTEM32>\taskkill.exe' /F /T /IM BrCcUxSys*
'<SYSTEM32>\taskkill.exe' /F /T /IM BrCtrlCntr*
'<SYSTEM32>\taskkill.exe' /F /T /IM AdobeCollabSync*
'<SYSTEM32>\taskkill.exe' /F /T /IM axlbridge*
'<SYSTEM32>\taskkill.exe' /F /T /IM qbupdate*
'<SYSTEM32>\taskkill.exe' /F /T /IM QBDBMgr*
'<SYSTEM32>\taskkill.exe' /F /T /IM QBW32*
'<SYSTEM32>\taskkill.exe' /F /T /IM winword*
'<SYSTEM32>\taskkill.exe' /F /T /IM Defwatch*
'<SYSTEM32>\taskkill.exe' /F /T /IM Culture*
'<SYSTEM32>\taskkill.exe' /F /T /IM supervise*
'<SYSTEM32>\taskkill.exe' /F /T /IM RAgui*
'<SYSTEM32>\taskkill.exe' /F /T /IM sqlmangr*
'<SYSTEM32>\taskkill.exe' /F /T /IM wxServerView*
'<SYSTEM32>\taskkill.exe' /F /T /IM mysql*
'<SYSTEM32>\taskkill.exe' /F /T /IM mssql*
'<SYSTEM32>\taskkill.exe' /F /T /IM msaccess*
'<SYSTEM32>\taskkill.exe' /F /T /IM sql*
'<SYSTEM32>\taskkill.exe' /F /T /IM QBVSS*
'<SYSTEM32>\taskkill.exe' /F /T /IM QBFCService*
'<SYSTEM32>\taskkill.exe' /F /T /IM httpd*
'<SYSTEM32>\taskkill.exe' /F /T /IM fdlauncher*
'<SYSTEM32>\taskkill.exe' /F /T /IM MsDtSrvr*
'<SYSTEM32>\taskkill.exe' /F /T /IM java*
'<SYSTEM32>\taskkill.exe' /F /T /IM sync-worker*
'<SYSTEM32>\taskkill.exe' /F /T /IM sync-taskbar*
'<SYSTEM32>\taskkill.exe' /F /T /IM AdobeIPCBroker*
'<SYSTEM32>\taskkill.exe' /F /T /IM node*
'<SYSTEM32>\taskkill.exe' /F /T /IM Adobe CEF Helper*
'<SYSTEM32>\taskkill.exe' /F /T /IM CoreSync*
'<SYSTEM32>\taskkill.exe' /F /T /IM Adobe Desktop Service*
'<SYSTEM32>\taskkill.exe' /F /T /IM Creative Cloud*
'<SYSTEM32>\taskkill.exe' /F /T /IM AutodeskDesktopApp*
'<SYSTEM32>\taskkill.exe' /F /T /IM acwebbrowser*
'<SYSTEM32>\taskkill.exe' /F /T /IM mysqld*
'<SYSTEM32>\taskkill.exe' /F /T /IM QBDBMgrN*
'<SYSTEM32>\taskkill.exe' /F /T /IM ZhuDongFangYu*
'<SYSTEM32>\taskkill.exe' /F /T /IM GDscan*
'<SYSTEM32>\taskkill.exe' /F /T /IM fdhost*
'<SYSTEM32>\taskkill.exe' /F /T /IM wdswfsafe*
'<SYSTEM32>\taskkill.exe' /F /T /IM 360doctor*
'<SYSTEM32>\taskkill.exe' /F /T /IM 360se*
'<SYSTEM32>\taskkill.exe' /F /T /IM InputPersonalization*
'<SYSTEM32>\taskkill.exe' /F /T /IM SQLAgent$SHAREPOINT*

Внедряет код в

следующие системные процессы:

<SYSTEM32>\vssvc.exe

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\logs\windowsbackup\wbadmin.0.etl
%TEMP%\boot.sys:ddmdnjamzhispuay

Перемещает следующие файлы

%WINDIR%\logs\windowsbackup\wbadmin.0.etl в %WINDIR%\logs\windowsbackup\wbadmin.1.etl
%WINDIR%\logs\windowsbackup\wbadmin.1.etl в %WINDIR%\logs\windowsbackup\wbadmin.2.etl

Подменяет следующие файлы

%WINDIR%\logs\windowsbackup\wbadmin.0.etl
%WINDIR%\logs\windowsbackup\wbadmin.1.etl

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

Подключается к

'21#.#.117.26':80

TCP

Запросы HTTP POST

http://21#.#.117.26/gateinfo

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C wmic.exe SHADOWCOPY DELETE /nointeractive
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM RTVscan*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Culserver*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sqladhlp*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sqlagent*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Sqlservr*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SavRoam*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM ccSetMgr*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM ccEvtMgr*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM wrapper*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sqlbrowser*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM ONENOTEM*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM fbguard*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Simply.SystemTrayIcon*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SimplyConnectionManager*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM BrCcUxSys*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM BrCtrlCntr*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM AdobeCollabSync*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM InputPersonalization*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sync-worker*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sync-taskbar*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM fbserver*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBIDPService*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Intuit.QuickBooks.FCS*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBCFMonitorService*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQLFDLauncher$SHAREPOINT*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQLFDLauncher$SBSMONITORING*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$SHAREPOINT*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$SBSMONITORING*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$MICROSOFT##SSEE*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM msftesql-Exchange*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SQLAgent$KAV_CS_ADMIN_KIT*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQLServerADHelper100*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$KAV_CS_ADMIN_KIT*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MySQL57*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM FishbowlMySQL*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SQLAgent$VEEAMSQL2012*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$VEEAMSQL2012*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MSSQL$MICROSOFT##WID*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM dbeng8*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM dbsrv12*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM vmware-converter*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM vmware-usbarbitator64*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM tomcat6*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM msmdsrv*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sqlwriter*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM AdobeIPCBroker*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SQLAgent$SBSMONITORING*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM node*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM CoreSync*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sqlmangr*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM wxServerView*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM mysql*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM mssql*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM msaccess*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM sql*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBVSS*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBFCService*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM wxServer*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM RAgui*
'<SYSTEM32>\cmd.exe' /C <SYSTEM32>\vssvc.exe
'<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\cmd.exe' /C bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\cmd.exe' /C bcdedit.exe /set {default} recoveryenabled No
'<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP -deleteOldest
'<SYSTEM32>\cmd.exe' /C wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
'<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP
'<SYSTEM32>\cmd.exe' /C wbadmin DELETE SYSTEMSTATEBACKUP
'<SYSTEM32>\svchost.exe' -k swprv
'<SYSTEM32>\vssvc.exe'
'<SYSTEM32>\cmd.exe' /C vssadmin.exe Delete Shadows /All /Quiet
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM supervise*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Culture*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Defwatch*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Adobe Desktop Service*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Creative Cloud*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM acwebbrowser*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM AutodeskDesktopApp*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM mysqld*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBDBMgrN*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM ZhuDongFangYu*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM GDscan*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM fdhost*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM wdswfsafe*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM 360doctor*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM 360se*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM java*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM MsDtSrvr*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM fdlauncher*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM httpd*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM axlbridge*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM qbupdate*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBDBMgr*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM QBW32*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM winword*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM Adobe CEF Helper*
'<SYSTEM32>\cmd.exe' /C taskkill /F /T /IM SQLAgent$SHAREPOINT*

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней