Trojan.Encoder.32856

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\Hivelist] 'ImagePath' = '<SYSTEM32>\Hivelist.exe -s'

Создает следующие сервисы

'Hivelist' <SYSTEM32>\Hivelist.exe -s

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\split.avi.tcwwasted_info
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer.tcwwasted_info
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\testee.cer.tcwwasted_info
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\pmd.cer.tcwwasted_info
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.tcwwasted_info
<Имя диска съемного носителя>:\lisp_success.doc.tcwwasted_info
<Имя диска съемного носителя>:\lisp_success.doc
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.tcwwasted_info
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\cveuropeo.doc.tcwwasted_info
<Имя диска съемного носителя>:\cveuropeo.doc
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.tcwwasted_info
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\contoso_1.cer.tcwwasted_info
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\000814251_video_01.avi.tcwwasted_info
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\correct.avi.tcwwasted_info
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\join.avi.tcwwasted_info
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\weeklysheet1215.doc.tcwwasted_info
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\archer.avi.tcwwasted_info
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\dialmap.bmp.tcwwasted_info
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\coffee.bmp.tcwwasted_info
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\toolbar.bmp.tcwwasted_info
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\dashborder_96.bmp.tcwwasted_info
<Имя диска съемного носителя>:\weeklysheet1215.doc

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'RegmonClass', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\hivelist
%APPDATA%\hivelist:bin
%WINDIR%\syswow64\hivelist.exe
%WINDIR%\temp\lck.log

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\hivelist

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Ищет следующие окна

ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''

Создает и запускает на исполнение