Trojan.Encoder.33307

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MSFEEditor' = '"<Полный путь к файлу>" e'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc.inprocess
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.inprocess
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\contoso.cer.inprocess
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\pmd.cer.inprocess
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\contosoroot.cer.inprocess
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\contosoroot_1.cer.inprocess
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\contoso_1.cer.inprocess
<Имя диска съемного носителя>:\applicantform_en.doc.inprocess
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\testcertificate.cer.inprocess
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\dashborder_144.bmp.inprocess
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp.inprocess
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\coffee.bmp.inprocess
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\dialmap.bmp.inprocess
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\000814251_video_01.avi.inprocess
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\join.avi.inprocess
<Имя диска съемного носителя>:\testee.cer.inprocess
<Имя диска съемного носителя>:\cveuropeo.doc

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

удаляет теневые копии разделов.

Внедряет код в

следующие системные процессы:

<SYSTEM32>\vssvc.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\key.file
%HOMEPATH%\desktop\recovery_instructions.txt
g:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini
%WINDIR%\logs\windowsbackup\wbadmin.0.etl
C:\recovery_instructions.txt
C:\users\public\desktop\recovery_instructions.txt
D:\recovery_instructions.txt
g:\bootmgr.inprocess
g:\bootsect.bak.inprocess
g:\xeldz.inprocess

Присваивает атрибут 'скрытый' для следующих файлов

g:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini
g:\bootmgr.readinstructions
g:\bootsect.bak.readinstructions
g:\xeldz.readinstructions

Перемещает следующие файлы

%WINDIR%\logs\windowsbackup\wbadmin.0.etl в %WINDIR%\logs\windowsbackup\wbadmin.1.etl
g:\bootmgr.inprocess в g:\bootmgr.readinstructions
g:\bootsect.bak.inprocess в g:\bootsect.bak.readinstructions
g:\xeldz.inprocess в g:\xeldz.readinstructions
%ProgramFiles(x86)%\mozilla firefox\precomplete в %ProgramFiles(x86)%\mozilla firefox\precomplete.inprocess
%ProgramFiles(x86)%\mozilla firefox\precomplete.inprocess в %ProgramFiles(x86)%\mozilla firefox\precomplete.readinstructions
%ProgramFiles(x86)%\mozilla firefox\removed-files в %ProgramFiles(x86)%\mozilla firefox\removed-files.inprocess
%ProgramFiles(x86)%\mozilla firefox\removed-files.inprocess в %ProgramFiles(x86)%\mozilla firefox\removed-files.readinstructions
%ProgramFiles(x86)%\mozilla thunderbird\precomplete в %ProgramFiles(x86)%\mozilla thunderbird\precomplete.inprocess
%ProgramFiles(x86)%\mozilla thunderbird\precomplete.inprocess в %ProgramFiles(x86)%\mozilla thunderbird\precomplete.readinstructions
%ProgramFiles(x86)%\mozilla thunderbird\removed-files в %ProgramFiles(x86)%\mozilla thunderbird\removed-files.inprocess
%ProgramFiles(x86)%\mozilla thunderbird\removed-files.inprocess в %ProgramFiles(x86)%\mozilla thunderbird\removed-files.readinstructions
%ProgramFiles(x86)%\opera\server_tracking_data в %ProgramFiles(x86)%\opera\server_tracking_data.inprocess
%ProgramFiles(x86)%\opera\server_tracking_data.inprocess в %ProgramFiles(x86)%\opera\server_tracking_data.readinstructions

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Запускает на исполнение

'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
'<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
'<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
'<SYSTEM32>\svchost.exe' -k swprv
'<SYSTEM32>\vssvc.exe'
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
'<SYSTEM32>\wbem\wmic.exe' SHADOWCOPY /nointeractive