Trojan.Encoder.32860

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\Tablet] 'ImagePath' = '<SYSTEM32>\Tablet.exe -s'

Создает следующие сервисы

'Tablet' <SYSTEM32>\Tablet.exe -s

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\join.avi.tcwwasted_info
<Имя диска съемного носителя>:\cveuropeo.doc
<Имя диска съемного носителя>:\cveuropeo.doc.tcwwasted_info
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.tcwwasted_info
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\contoso.cer.tcwwasted_info
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\contosoroot.cer.tcwwasted_info
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\contoso_1.cer.tcwwasted_info
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\testee.cer.tcwwasted_info
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer.tcwwasted_info
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\dashborder_192.bmp.tcwwasted_info
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp.tcwwasted_info
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\toolbar.bmp.tcwwasted_info
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\default.bmp.tcwwasted_info
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\000814251_video_01.avi.tcwwasted_info
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\split.avi.tcwwasted_info
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\508softwareandos.doc.tcwwasted_info
<Имя диска съемного носителя>:\508softwareandos.doc

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: 'RegmonClass', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\tablet
%APPDATA%\tablet:bin
%WINDIR%\syswow64\tablet.exe
%WINDIR%\temp\lck.log

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\tablet

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Ищет следующие окна

ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''

Создает и запускает на исполнение