Trojan.Encoder.32744

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MSFEEditor' = '"<Полный путь к файлу>" e'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\correct.avi.dumpkee@keemail_me
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.dumpkee@keemail_me
<Имя диска съемного носителя>:\contoso.cer.dumpkee@keemail_me
<Имя диска съемного носителя>:\contosoroot.cer.dumpkee@keemail_me
<Имя диска съемного носителя>:\contoso_1.cer.dumpkee@keemail_me
<Имя диска съемного носителя>:\dashborder_192.bmp.dumpkee@keemail_me
<Имя диска съемного носителя>:\dashborder_120.bmp.dumpkee@keemail_me
<Имя диска съемного носителя>:\february_catalogue__2015.doc.dumpkee@keemail_me
<Имя диска съемного носителя>:\dashborder_144.bmp.dumpkee@keemail_me
<Имя диска съемного носителя>:\tileimage.bmp.dumpkee@keemail_me
<Имя диска съемного носителя>:\coffee.bmp.dumpkee@keemail_me
<Имя диска съемного носителя>:\dialmap.bmp.dumpkee@keemail_me
<Имя диска съемного носителя>:\archer.avi.dumpkee@keemail_me
<Имя диска съемного носителя>:\split.avi.dumpkee@keemail_me
<Имя диска съемного носителя>:\!!!how_to_decrypt!!!.txt
<Имя диска съемного носителя>:\dashborder_96.bmp.dumpkee@keemail_me
<Имя диска съемного носителя>:\cveuropeo.doc.dumpkee@keemail_me

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\key.file
%ProgramFiles(x86)%\mozilla thunderbird\precomplete.dumpkee@keemail_me
%ProgramFiles(x86)%\opera\server_tracking_data.dumpkee@keemail_me
C:\totalcmd\totalcmd.chm.dumpkee@keemail_me
C:\totalcmd\tcuninst.wul.dumpkee@keemail_me
C:\totalcmd\tcunin64.wul.dumpkee@keemail_me
C:\totalcmd\size!.txt.dumpkee@keemail_me
C:\totalcmd\sfxhead.sfx.dumpkee@keemail_me
C:\totalcmd\no.bar.dumpkee@keemail_me
C:\totalcmd\keyboard.txt.dumpkee@keemail_me
C:\far2\far.map.dumpkee@keemail_me
C:\far2\clearpluginscache.cmd.dumpkee@keemail_me
%ProgramFiles(x86)%\mozilla firefox\removed-files.dumpkee@keemail_me
%ProgramFiles(x86)%\mozilla firefox\!!!how_to_decrypt!!!.txt
C:\far2\changelog_eng.dumpkee@keemail_me
%ProgramFiles(x86)%\mozilla firefox\precomplete.dumpkee@keemail_me
C:\totalcmd\history.txt.dumpkee@keemail_me
C:\far2\!!!how_to_decrypt!!!.txt
C:\totalcmd\descript.ion.dumpkee@keemail_me
C:\far2\changelog.dumpkee@keemail_me
C:\totalcmd\!!!how_to_decrypt!!!.txt
C:\totalcmd\default.bar.dumpkee@keemail_me
D:\!!!how_to_decrypt!!!.txt
D:\install.log.dumpkee@keemail_me
%HOMEPATH%\desktop\!!!encrypted_files_list!!!.txt
%HOMEPATH%\desktop\!!!how_to_decrypt!!!.txt
%ProgramFiles(x86)%\opera\!!!how_to_decrypt!!!.txt
%ProgramFiles(x86)%\mozilla thunderbird\!!!how_to_decrypt!!!.txt

Удаляет следующие файлы

<Имя диска съемного носителя>:\cveuropeo.doc.dumpkee@keemail_me

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Запускает на исполнение

'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
'<SYSTEM32>\vssvc.exe'
'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
'%WINDIR%\syswow64\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
'%WINDIR%\syswow64\wbem\wmic.exe' SHADOWCOPY /nointeractive