Trojan.Encoder.33344

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'services.exe' = '"%APPDATA%\Microsoft\Windows\services.exe" -start'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\!!! how to back your files !!!.txt
<Имя диска съемного носителя>:\cveuropeo.doc
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\lisp_success.doc
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\middaugh_keynote.pptx
<Имя диска съемного носителя>:\asaprojectcompetition.pptx

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ba71329b.imposter
C:\far2\documentation\!!! how to back your files !!!.txt
C:\far2\documentation\eng\!!! how to back your files !!!.txt
C:\far2\documentation\rus\!!! how to back your files !!!.txt
C:\far2\encyclopedia\!!! how to back your files !!!.txt
C:\far2\encyclopedia\tap\!!! how to back your files !!!.txt
C:\far2\fexcept\!!! how to back your files !!!.txt
C:\far2\plugins\!!! how to back your files !!!.txt
C:\far2\plugins\align\!!! how to back your files !!!.txt
C:\far2\addons\xlat\!!! how to back your files !!!.txt
C:\far2\addons\xlat\russian\!!! how to back your files !!!.txt
C:\far2\plugins\arclite\!!! how to back your files !!!.txt
C:\far2\plugins\compare\!!! how to back your files !!!.txt
C:\far2\plugins\drawline\!!! how to back your files !!!.txt
C:\far2\plugins\editcase\!!! how to back your files !!!.txt
C:\far2\plugins\emenu\!!! how to back your files !!!.txt
C:\far2\plugins\farcmds\!!! how to back your files !!!.txt
C:\far2\plugins\filecase\!!! how to back your files !!!.txt
C:\far2\plugins\ftp\!!! how to back your files !!!.txt
C:\far2\plugins\ftp\lib\!!! how to back your files !!!.txt
C:\far2\plugins\autowrap\!!! how to back your files !!!.txt
C:\far2\plugins\brackets\!!! how to back your files !!!.txt
C:\far2\addons\shell\!!! how to back your files !!!.txt
C:\far2\addons\setup\!!! how to back your files !!!.txt
C:\far2\addons\macros\!!! how to back your files !!!.txt
%TEMP%\edb7477f.imposter
%TEMP%\~temp001.bat
D:\$recycle.bin\.imposter
D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\.imposter
D:\!!! how to back your files !!!.txt
D:\$recycle.bin\!!! how to back your files !!!.txt
D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\!!! how to back your files !!!.txt
C:\$recycle.bin\.imposter
C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\.imposter
%APPDATA%\microsoft\windows\services.exe
<Текущая директория>\.imposter
C:\$recycle.bin\!!! how to back your files !!!.txt
C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\!!! how to back your files !!!.txt
<Текущая директория>\!!! how to back your files !!!.txt
C:\documents and settings\!!! how to back your files !!!.txt
C:\far2\!!! how to back your files !!!.txt
C:\far2\addons\!!! how to back your files !!!.txt
C:\far2\addons\colors\!!! how to back your files !!!.txt
C:\far2\addons\colors\custom_highlighting\!!! how to back your files !!!.txt
C:\far2\addons\colors\default_highlighting\!!! how to back your files !!!.txt
C:\!!! how to back your files !!!.txt
C:\far2\plugins\hlfviewer\!!! how to back your files !!!.txt
C:\far2\plugins\macroview\!!! how to back your files !!!.txt

Удаляет следующие файлы

%TEMP%\ba71329b.imposter
%TEMP%\edb7477f.imposter

Самоперемещается

из <Полный путь к файлу> в <Полный путь к файлу>.25c-cde-34e

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%APPDATA%\microsoft\windows\services.exe' -start
'%APPDATA%\microsoft\windows\services.exe' -agent 0
'%APPDATA%\microsoft\windows\services.exe' -agent 1
'%APPDATA%\microsoft\windows\services.exe' -agent 2
'%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C %TEMP%\~temp001.bat' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
'%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet
'%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet
'%WINDIR%\syswow64\cmd.exe' /C %TEMP%\~temp001.bat