Trojan.Encoder.32858

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\Installers] 'ImagePath' = '<SYSTEM32>\Installers.exe -s'

Создает следующие сервисы

'Installers' <SYSTEM32>\Installers.exe -s

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\delete.avi.tcwwasted_info
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.tcwwasted_info
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\contoso_1.cer.tcwwasted_info
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.tcwwasted_info
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\default.bmp.tcwwasted_info
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.tcwwasted_info
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\508softwareandos.doc.tcwwasted_info
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc.tcwwasted_info
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\contosoroot.cer.tcwwasted_info
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\dashborder_192.bmp.tcwwasted_info
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\coffee.bmp.tcwwasted_info
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\dialmap.bmp.tcwwasted_info
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\pmd.cer.tcwwasted_info
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp.tcwwasted_info
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\join.avi.tcwwasted_info
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\000814251_video_01.avi.tcwwasted_info
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.tcwwasted_info
<Имя диска съемного носителя>:\hanni_umami_chapter.doc

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'RegmonClass', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\installers
%APPDATA%\installers:bin
%WINDIR%\syswow64\installers.exe
%WINDIR%\temp\lck.log

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\installers

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Ищет следующие окна

ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''

Создает и запускает на исполнение