Trojan.Encoder.33333

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'TrustedInstaller.exe' = '"%APPDATA%\Microsoft\Windows\TrustedInstaller.exe" -start'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\waterresourcesag.pptx
<Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
<Имя диска съемного носителя>:\utorrent.exe
<Имя диска съемного носителя>:\notepad.exe
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe
<Имя диска съемного носителя>:\lisp_success.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im 0001001010DF.exe

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\notepad.exe

Изменения в файловой системе

Создает следующие файлы

C:\inst48961\data\random5398rw.vbs
C:\inst48961\data\cre8765456.bat
C:\inst48961\data\0001001010df.exe
C:\inst48961\data\ico
C:\inst48961\data\comodo.cer
C:\inst48961\data\als.vbs
C:\inst48961\data\fs07745.bat
C:\inst48961\data\rmsid.exe
%TEMP%\4c503cef.zeppelin
%APPDATA%\microsoft\windows\trustedinstaller.exe
%TEMP%\0ceb8b25.zeppelin

Удаляет следующие файлы

C:\inst48961\data\eroot.rar
%TEMP%\4c503cef.zeppelin
C:\inst48961\data\rmsid.exe
%TEMP%\0ceb8b25.zeppelin
C:\inst48961\data\als.vbs
C:\inst48961\data\0001001010df.exe
C:\inst48961\data\random5398rw.vbs

Перемещает следующие файлы

C:\inst48961\data\ico в C:\inst48961\data\eroot.rar

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

TCP

Запросы HTTP GET

http://ge###tool.com/
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://ip###ger.org/1yTkr7.txt
http://oc##.#ectigo.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRDC9IOTxN6GmyRjyTl2n4yTUczyAQUjYxexFStiuF36Zv5mwXhuAGNYeECEGmjTouN%2FW5s3CDseaiw7qE%3D

'ge###tool.com':443

'ip###ger.org':443

UDP

DNS ASK ge###tool.com
DNS ASK ge###tatool.com
DNS ASK microsoft.com
DNS ASK ip###ger.org
DNS ASK oc##.#ectigo.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "C:\inst48961\data\random5398rw.vbs" /f=CREATE_NO_WINDOW install.cmd
'C:\inst48961\data\0001001010df.exe' e -ppool00041 eroot.rar
'%WINDIR%\syswow64\wscript.exe' "C:\inst48961\data\als.vbs"
'C:\inst48961\data\rmsid.exe' /start
'%APPDATA%\microsoft\windows\trustedinstaller.exe' -start
'%APPDATA%\microsoft\windows\trustedinstaller.exe' -agent 0
'%APPDATA%\microsoft\windows\trustedinstaller.exe' -agent 1
'%APPDATA%\microsoft\windows\trustedinstaller.exe' -agent 2
'%WINDIR%\syswow64\cmd.exe' /c ""C:\inst48961\data\cre8765456.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""C:\inst48961\data\fs07745.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C %TEMP%\~temp001.bat' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\inst48961\data\cre8765456.bat" "
'%WINDIR%\syswow64\timeout.exe' 7
'%WINDIR%\syswow64\timeout.exe' 6
'%WINDIR%\syswow64\timeout.exe' 8
'%WINDIR%\syswow64\cmd.exe' /c ""C:\inst48961\data\fs07745.bat" "
'%WINDIR%\syswow64\attrib.exe' +s +h "C:\inst48961\"
'%WINDIR%\syswow64\timeout.exe' 2
'%WINDIR%\syswow64\notepad.exe'
'%WINDIR%\syswow64\attrib.exe' -s -h "C:\inst48961\data"
'%WINDIR%\syswow64\timeout.exe' 4
'%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
'%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet
'%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet
'%WINDIR%\syswow64\cmd.exe' /C %TEMP%\~temp001.bat