Trojan.Encoder.32752

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '{57D2C7EA-BFD3-AE15-8453-5B82D5C9EE73}' = '%APPDATA%\guide.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\000814251_video_01.avi
%HOMEPATH%\desktop\contosoroot.cer
%HOMEPATH%\desktop\correct.avi
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\default.bmp
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\sdkfailsafeemulator.cer
%HOMEPATH%\desktop\sdksampleprivdeveloper.cer
%HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\guide.exe
C:\far2\addons\shell\how to recover encrypted files.txt
C:\far2\addons\xlat\how to recover encrypted files.txt
C:\far2\addons\xlat\russian\how to recover encrypted files.txt
C:\far2\documentation\eng\how to recover encrypted files.txt
C:\far2\documentation\rus\how to recover encrypted files.txt
C:\far2\encyclopedia\how to recover encrypted files.txt
C:\far2\encyclopedia\tap\how to recover encrypted files.txt
C:\far2\fexcept\how to recover encrypted files.txt
C:\far2\plugins\align\how to recover encrypted files.txt
C:\far2\plugins\arclite\how to recover encrypted files.txt
C:\far2\plugins\autowrap\how to recover encrypted files.txt
C:\far2\plugins\brackets\how to recover encrypted files.txt
C:\far2\plugins\compare\how to recover encrypted files.txt
C:\far2\plugins\drawline\how to recover encrypted files.txt
C:\far2\plugins\editcase\how to recover encrypted files.txt
C:\far2\plugins\emenu\how to recover encrypted files.txt
C:\far2\plugins\farcmds\how to recover encrypted files.txt
C:\far2\plugins\filecase\how to recover encrypted files.txt
C:\far2\plugins\ftp\how to recover encrypted files.txt
C:\far2\plugins\ftp\lib\how to recover encrypted files.txt
C:\far2\plugins\hlfviewer\how to recover encrypted files.txt
C:\far2\addons\setup\how to recover encrypted files.txt
C:\far2\plugins\macroview\how to recover encrypted files.txt
C:\far2\addons\macros\how to recover encrypted files.txt
C:\far2\addons\colors\custom_highlighting\how to recover encrypted files.txt
%TEMP%\{da28a0f6-da28-da28-da28-da28a0f66563}.bat
%HOMEPATH%\how to recover encrypted files.txt
%HOMEPATH%\contacts\how to recover encrypted files.txt
%HOMEPATH%\desktop\how to recover encrypted files.txt
%HOMEPATH%\documents\how to recover encrypted files.txt
%HOMEPATH%\downloads\how to recover encrypted files.txt
%HOMEPATH%\favorites\how to recover encrypted files.txt
%HOMEPATH%\favorites\links\how to recover encrypted files.txt
%HOMEPATH%\favorites\links for united states\how to recover encrypted files.txt
%HOMEPATH%\favorites\microsoft websites\how to recover encrypted files.txt
%HOMEPATH%\favorites\msn websites\how to recover encrypted files.txt
%HOMEPATH%\favorites\windows live\how to recover encrypted files.txt
%HOMEPATH%\links\how to recover encrypted files.txt
%HOMEPATH%\music\how to recover encrypted files.txt
%HOMEPATH%\pictures\how to recover encrypted files.txt
%HOMEPATH%\saved games\how to recover encrypted files.txt
%HOMEPATH%\searches\how to recover encrypted files.txt
%HOMEPATH%\videos\how to recover encrypted files.txt
C:\far2\how to recover encrypted files.txt
C:\far2\addons\how to recover encrypted files.txt
C:\far2\addons\colors\how to recover encrypted files.txt
C:\far2\addons\colors\default_highlighting\how to recover encrypted files.txt
C:\far2\plugins\network\how to recover encrypted files.txt

Удаляет следующие файлы

%APPDATA%\guide.exe

Подменяет следующие файлы

%APPDATA%\guide.exe

Самоудаляется.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\{DA28A0F6-DA28-DA28-DA28-DA28A0F66563}.bat' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=C: /All' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=D: /All' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=E: /All' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=F: /All' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled No' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c wmic SHADOWCOPY DELETE' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\{DA28A0F6-DA28-DA28-DA28-DA28A0F66563}.bat
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=C: /All
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=D: /All
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=E: /All
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /for=F: /All
'%WINDIR%\syswow64\cmd.exe' /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled No
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet
'%WINDIR%\syswow64\cmd.exe' /c wmic SHADOWCOPY DELETE
'<SYSTEM32>\vssvc.exe'