Trojan.Encoder.32425

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\567e.tmp\570c.tmp\570d.bat
%TEMP%\6a45.tmp\6a46.tmp\6a47.bat
%HOMEPATH%\desktop\dotnetfx45_full_setup.exe.cxk_nmsl
%HOMEPATH%\desktop\icq.lnk.cxk_nmsl
%HOMEPATH%\desktop\mail.ru agent.lnk.cxk_nmsl
%HOMEPATH%\desktop\qip 2012.lnk.cxk_nmsl
%HOMEPATH%\desktop\skypesetup.exe.cxk_nmsl
%HOMEPATH%\desktop\telegram.lnk.cxk_nmsl
%HOMEPATH%\desktop\total commander 64 bit.lnk.cxk_nmsl
%HOMEPATH%\desktop\utorrent.exe.cxk_nmsl
%HOMEPATH%\downloads\chromesetup.exe.cxk_nmsl
%HOMEPATH%\downloads\icq_rfrset.exe.cxk_nmsl

Удаляет следующие файлы

%TEMP%\567e.tmp\570c.tmp\570d.bat

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\567E.tmp\570C.tmp\570D.bat <Полный путь к файлу>"' (со скрытым окном)
'<Полный путь к файлу>' ::' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "%TEMP%\6A45.tmp\6A46.tmp\6A47.bat <Полный путь к файлу> ::"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\567E.tmp\570C.tmp\570D.bat <Полный путь к файлу>"
'<SYSTEM32>\certutil.exe' -encode "pmd.cer.cxkdata" "pmd.cer.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "QIP 2012.lnk.cxkdata" "QIP 2012.lnk.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "region-north-karelia.jpeg.cxkdata" "region-north-karelia.jpeg.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "skypesetup.exe.cxkdata" "skypesetup.exe.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "split.avi.cxkdata" "split.avi.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "Telegram.lnk.cxkdata" "Telegram.lnk.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "tree_view.htm.cxkdata" "tree_view.htm.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "K-Lite_Codec_Pack_1110_Mega_dlm.exe.cxkdata" "K-Lite_Codec_Pack_1110_Mega_dlm.exe.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "trivial-merge.html.cxkdata" "trivial-merge.html.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "utorrent.exe.cxkdata" "utorrent.exe.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "ChromeSetup.exe.cxkdata" "ChromeSetup.exe.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "icq_rfrset.exe.cxkdata" "icq_rfrset.exe.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "jre-8u45-windows-x64.exe.cxkdata" "jre-8u45-windows-x64.exe.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "K-Lite_Codec_Pack_1110_Mega.exe.cxkdata" "K-Lite_Codec_Pack_1110_Mega.exe.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "ovp25012015.doc.cxkdata" "ovp25012015.doc.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "Total Commander 64 bit.lnk.cxkdata" "Total Commander 64 bit.lnk.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "Mail.Ru Agent.lnk.cxkdata" "Mail.Ru Agent.lnk.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "applicantform_en.doc.cxkdata" "applicantform_en.doc.cxk_nmsl"
'<SYSTEM32>\mshta.exe' vbscript:createobject("shell.application").shellexecute("""<Полный путь к файлу>""","::",,"runas",0)(window.close)
'<SYSTEM32>\cmd.exe' /c "%TEMP%\6A45.tmp\6A46.tmp\6A47.bat <Полный путь к файлу> ::"
'<SYSTEM32>\certutil.exe' -encode "13.jpeg.cxkdata" "13.jpeg.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "2.jpg.cxkdata" "2.jpg.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "64bit_notes.htm.cxkdata" "64bit_notes.htm.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "alert.htm.cxkdata" "alert.htm.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "coffee.bmp.cxkdata" "coffee.bmp.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "holycrosschurchinstructions.docx.cxkdata" "holycrosschurchinstructions.docx.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "dashBorder_192.bmp.cxkdata" "dashBorder_192.bmp.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "default.bmp.cxkdata" "default.bmp.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "dotnetfx45_full_setup.exe.cxkdata" "dotnetfx45_full_setup.exe.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "february_catalogue__2015.doc.cxkdata" "february_catalogue__2015.doc.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "file_p_00000000_1371597592.docx.cxkdata" "file_p_00000000_1371597592.docx.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "hanni_umami_chapter.doc.cxkdata" "hanni_umami_chapter.doc.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "ICQ.lnk.cxkdata" "ICQ.lnk.cxk_nmsl"
'<SYSTEM32>\certutil.exe' -encode "magent_rfrset.exe.cxkdata" "magent_rfrset.exe.cxk_nmsl"