Trojan.Encoder.32595

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\info-decrypt.hta
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\testcertificate.cer

Вредоносные функции

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра

[<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Изменения в файловой системе

Создает следующие файлы

C:\info-decrypt.txt
%ProgramFiles(x86)%\info-decrypt.hta
<Текущая директория>\info-decrypt.hta
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\info-decrypt.hta
%ProgramFiles%\info-decrypt.hta
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\info-decrypt.hta
%ALLUSERSPROFILE%\adobe\arm\reader_15.007.20033\info-decrypt.hta
%ProgramFiles(x86)%\adobe\acrobat reader dc\info-decrypt.hta
%ProgramFiles%\360tray\info-decrypt.hta
%ALLUSERSPROFILE%\adobe\arm\s\info-decrypt.hta
%ProgramFiles(x86)%\adobe\acrobat reader dc\esl\info-decrypt.hta
%ProgramFiles%\a2cmd\info-decrypt.hta
%ALLUSERSPROFILE%\adobe\arm\s\10428\info-decrypt.hta
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\info-decrypt.hta
%ProgramFiles%\a2guard\info-decrypt.hta
%ALLUSERSPROFILE%\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\info-decrypt.hta
C:\totalcmd\info-decrypt.hta
%ProgramFiles%\a2hijackfree\info-decrypt.hta
C:\users\info-decrypt.hta
C:\far2\info-decrypt.hta
C:\$recycle.bin\info-decrypt.txt
C:\documents and settings\info-decrypt.txt
C:\far2\info-decrypt.txt
C:\msocache\info-decrypt.txt
C:\perflogs\info-decrypt.txt
%ProgramFiles%\info-decrypt.txt
%ProgramFiles(x86)%\info-decrypt.txt
%ALLUSERSPROFILE%\info-decrypt.txt
C:\recovery\info-decrypt.txt
<Текущая директория>\info-decrypt.txt
C:\totalcmd\info-decrypt.txt
C:\users\info-decrypt.txt
%WINDIR%\info-decrypt.txt
D:\info-decrypt.txt
D:\$recycle.bin\info-decrypt.txt
D:\info-decrypt.hta
%ProgramFiles%\a2scan\info-decrypt.hta

Перемещает следующие файлы

%ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm в %ProgramFiles(x86)%\adobe\acrobat reader dc\readme.htm.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles%\a2wizard\a2wizard.exe в %ProgramFiles%\a2wizard\a2wizard.exe.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles%\a2upd\a2upd.exe в %ProgramFiles%\a2upd\a2upd.exe.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrobroker.exe в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrobroker.exe.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles%\a2start\a2start.exe в %ProgramFiles%\a2start\a2start.exe.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles%\a2service\a2service.exe в %ProgramFiles%\a2service\a2service.exe.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ace.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\ace.dll.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrofx32.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrofx32.dll.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles%\a2scan\a2scan.exe в %ProgramFiles%\a2scan\a2scan.exe.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\a3dutils.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\a3dutils.dll.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles%\a2guard\a2guard.exe в %ProgramFiles%\a2guard\a2guard.exe.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\1494870c-9912-c184-4cc9-b401-a53f4d8de290.pdf в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\1494870c-9912-c184-4cc9-b401-a53f4d8de290.pdf.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles%\a2cmd\a2cmd.exe в %ProgramFiles%\a2cmd\a2cmd.exe.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles(x86)%\adobe\acrobat reader dc\esl\aiodlite.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\esl\aiodlite.dll.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles%\360tray\360tray.exe в %ProgramFiles%\360tray\360tray.exe.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles%\a2hijackfree\a2hijackfree.exe в %ProgramFiles%\a2hijackfree\a2hijackfree.exe.id-efa17aef.[decfiles@tuta.io].abkir
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.dll в %ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.dll.id-efa17aef.[decfiles@tuta.io].abkir