Trojan.Encoder.32228

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\babyboymaintonotesbackground_pal.wmv
<Имя диска съемного носителя>:\al.xlsx
<Имя диска съемного носителя>:\highly_cited_2001.xlsx
<Имя диска съемного носителя>:\waterlandhealthkano.rtf
<Имя диска съемного носителя>:\flower_trans_matte.wmv
<Имя диска съемного носителя>:\1sm_price.zip
<Имя диска съемного носителя>:\suspendedcompanies.xlsx

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\or3sdi2s.0.cs
%TEMP%\or3sdi2s.cmdline
%TEMP%\or3sdi2s.out
%TEMP%\cscbce4.tmp
%TEMP%\resbd05.tmp
%TEMP%\or3sdi2s.dll
%TEMP%\vy6j2xae.0.cs
%TEMP%\vy6j2xae.cmdline
%TEMP%\vy6j2xae.out
%TEMP%\cscbfb3.tmp
%TEMP%\resbfc4.tmp
%TEMP%\vy6j2xae.dll

Удаляет следующие файлы

%TEMP%\resbd05.tmp
%TEMP%\cscbce4.tmp
%TEMP%\or3sdi2s.dll
%TEMP%\or3sdi2s.out
%TEMP%\or3sdi2s.0.cs
%TEMP%\or3sdi2s.cmdline
%TEMP%\or3sdi2s.pdb
%TEMP%\resbfc4.tmp
%TEMP%\cscbfb3.tmp
%TEMP%\vy6j2xae.out
%TEMP%\vy6j2xae.cmdline
%TEMP%\vy6j2xae.0.cs
%TEMP%\vy6j2xae.dll
%TEMP%\vy6j2xae.pdb

Перемещает следующие файлы

%ProgramFiles(x86)%\qip 2012\unins000.dat в %ProgramFiles(x86)%\qip 2012\unins000.dat.d8c661
%ProgramFiles(x86)%\pidgin\plugins\.dll в %ProgramFiles(x86)%\pidgin\plugins\.dll.d8c661
%ProgramFiles(x86)%\msbuild\microsoft.office.infopath.targets в %ProgramFiles(x86)%\msbuild\microsoft.office.infopath.targets.d8c661
%ProgramFiles(x86)%\msbuild\microsoft\windows workflow foundation\v3.0\workflow.visualbasic.targets в %ProgramFiles(x86)%\msbuild\microsoft\windows workflow foundation\v3.0\workflow.visualbasic.targets.d8c661
%ProgramFiles(x86)%\winamp\whatsnew.txt в %ProgramFiles(x86)%\winamp\whatsnew.txt.d8c661
%ProgramFiles(x86)%\winamp\pconfig.dcf в %ProgramFiles(x86)%\winamp\pconfig.dcf.d8c661
%ProgramFiles(x86)%\winamp\paths.ini в %ProgramFiles(x86)%\winamp\paths.ini.d8c661
%ProgramFiles(x86)%\pidgin\sounds\purple\alert.wav в %ProgramFiles(x86)%\pidgin\sounds\purple\alert.wav.d8c661
%ProgramFiles(x86)%\qip 2012\skins\qip\extended.cfg в %ProgramFiles(x86)%\qip 2012\skins\qip\extended.cfg.d8c661
%ProgramFiles(x86)%\microsoft office\office10\trigram.lex в %ProgramFiles(x86)%\microsoft office\office10\trigram.lex.d8c661
%ProgramFiles(x86)%\qip 2012\skins\qip\fade.cfg в %ProgramFiles(x86)%\qip 2012\skins\qip\fade.cfg.d8c661
%ProgramFiles(x86)%\google\chrome\application\visualelementsmanifest.xml в %ProgramFiles(x86)%\google\chrome\application\visualelementsmanifest.xml.d8c661
%ProgramFiles(x86)%\k-lite codec pack\unins000.dat в %ProgramFiles(x86)%\k-lite codec pack\unins000.dat.d8c661
%ProgramFiles(x86)%\microsoft office\office14\1033\vbaows10.chm в %ProgramFiles(x86)%\microsoft office\office14\1033\vbaows10.chm.d8c661
%ProgramFiles(x86)%\microsoft office\office10\thdic.lex в %ProgramFiles(x86)%\microsoft office\office10\thdic.lex.d8c661
%ProgramFiles(x86)%\k-lite codec pack\icaros\ffmpeg license.txt в %ProgramFiles(x86)%\k-lite codec pack\icaros\ffmpeg license.txt.d8c661
%ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-0.bin в %ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-0.bin.d8c661
%ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-1.bin в %ProgramFiles(x86)%\k-lite codec pack\tools\codectweaktool-1.bin.d8c661
%ProgramFiles(x86)%\k-lite codec pack\icaros\resources\icarosdescriptions.propdesc в %ProgramFiles(x86)%\k-lite codec pack\icaros\resources\icarosdescriptions.propdesc.d8c661
%ProgramFiles(x86)%\qip 2012\unins000.msg в %ProgramFiles(x86)%\qip 2012\unins000.msg.d8c661
%ProgramFiles(x86)%\steam\libav_h264-56.dll.crypt в %ProgramFiles(x86)%\steam\libav_h264-56.dll.crypt.d8c661
%ProgramFiles(x86)%\microsoft analysis services\as oledb\10\resources\1033\msmdsrv.rll в %ProgramFiles(x86)%\microsoft analysis services\as oledb\10\resources\1033\msmdsrv.rll.d8c661

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\or3sdi2s.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBD05.tmp" "%TEMP%\CSCBCE4.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vy6j2xae.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBFC4.tmp" "%TEMP%\CSCBFB3.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\or3sdi2s.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBD05.tmp" "%TEMP%\CSCBCE4.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vy6j2xae.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBFC4.tmp" "%TEMP%\CSCBFB3.tmp"
'<SYSTEM32>\vssvc.exe'
'<SYSTEM32>\svchost.exe' -k swprv