Trojan.Encoder.33093

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Bytelocker' = '"%APPDATA%\{80e61980-cb48-41d6-8a84-802729c5da79}.exe"'

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\contoso.cer
%HOMEPATH%\desktop\contosoroot.cer
%HOMEPATH%\desktop\contoso_1.cer
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\sdksampleprivdeveloper.cer
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\{80e61980-cb48-41d6-8a84-802729c5da79}.exe
C:\users\public\music\sample music\albumart_{5fa05d35-a682-4af6-96f7-0773e42d4d16}_large.jpg.bytcrypttmp
C:\users\public\music\sample music\albumartsmall.jpg.bytcrypttmp
C:\users\public\pictures\sample pictures\tulips.jpg.bytcrypttmp
C:\users\public\pictures\sample pictures\penguins.jpg.bytcrypttmp
C:\users\public\pictures\sample pictures\lighthouse.jpg.bytcrypttmp
C:\users\public\pictures\sample pictures\koala.jpg.bytcrypttmp
C:\users\public\pictures\sample pictures\jellyfish.jpg.bytcrypttmp
C:\users\public\pictures\sample pictures\hydrangeas.jpg.bytcrypttmp
C:\users\public\pictures\sample pictures\desert.jpg.bytcrypttmp
C:\users\public\pictures\sample pictures\chrysanthemum.jpg.bytcrypttmp
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc.bytcrypttmp
%HOMEPATH%\desktop\sdksampleprivdeveloper.cer.bytcrypttmp
%HOMEPATH%\desktop\ovp25012015.doc.bytcrypttmp
%HOMEPATH%\desktop\nwfieldnotes1966.docx.bytcrypttmp
%HOMEPATH%\desktop\glidescope_review_rev_010.docx.bytcrypttmp
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx.bytcrypttmp
%HOMEPATH%\desktop\fi51.doc.bytcrypttmp
%HOMEPATH%\desktop\february_catalogue__2015.doc.bytcrypttmp
%HOMEPATH%\desktop\cveuropeo.doc.bytcrypttmp
%HOMEPATH%\desktop\contoso_1.cer.bytcrypttmp
%HOMEPATH%\desktop\contosoroot.cer.bytcrypttmp
%HOMEPATH%\desktop\contoso.cer.bytcrypttmp
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx.bytcrypttmp
C:\users\public\music\sample music\albumart_{5fa05d35-a682-4af6-96f7-0773e42d4d16}_small.jpg.bytcrypttmp
C:\users\public\music\sample music\folder.jpg.bytcrypttmp

Подменяет следующие файлы

%HOMEPATH%\Desktop\aoc_saq_d_v3_merchant.docx
C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Large.jpg
C:\Users\Public\Music\Sample Music\AlbumArtSmall.jpg
C:\Users\Public\Pictures\Sample Pictures\Tulips.jpg
C:\Users\Public\Pictures\Sample Pictures\Penguins.jpg
C:\Users\Public\Pictures\Sample Pictures\Lighthouse.jpg
C:\Users\Public\Pictures\Sample Pictures\Koala.jpg
C:\Users\Public\Pictures\Sample Pictures\Jellyfish.jpg
C:\Users\Public\Pictures\Sample Pictures\Hydrangeas.jpg
C:\Users\Public\Pictures\Sample Pictures\Desert.jpg
C:\Users\Public\Pictures\Sample Pictures\Chrysanthemum.jpg
C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Small.jpg
%HOMEPATH%\Desktop\uep_form_786_bulletin_1726i602.doc
%HOMEPATH%\Desktop\ovp25012015.doc
%HOMEPATH%\Desktop\nwfieldnotes1966.docx
%HOMEPATH%\Desktop\glidescope_review_rev_010.docx
%HOMEPATH%\Desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\Desktop\fi51.doc
%HOMEPATH%\Desktop\february_catalogue__2015.doc
%HOMEPATH%\Desktop\cveuropeo.doc
%HOMEPATH%\Desktop\contoso_1.cer
%HOMEPATH%\Desktop\contosoroot.cer
%HOMEPATH%\Desktop\contoso.cer
%HOMEPATH%\Desktop\SDKSamplePrivDeveloper.cer
C:\Users\Public\Music\Sample Music\Folder.jpg