Trojan.Encoder.28489

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\69e3wyu-readme.txt

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\000814251_video_01.avi
%HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
%HOMEPATH%\desktop\pmd.cer
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\dialmap.bmp
%HOMEPATH%\desktop\dashborder_96.bmp
%HOMEPATH%\desktop\dashborder_144.bmp
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\correct.avi
%HOMEPATH%\desktop\contosoroot_1.cer
%HOMEPATH%\desktop\coffee.bmp
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\tileimage.bmp
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc

Изменения в файловой системе

Создает следующие файлы

C:\69e3wyu-readme.txt
%HOMEPATH%\documents\69e3wyu-readme.txt
%HOMEPATH%\desktop\69e3wyu-readme.txt
%HOMEPATH%\contacts\69e3wyu-readme.txt
C:\users\public\videos\69e3wyu-readme.txt
C:\users\public\recorded tv\69e3wyu-readme.txt
C:\users\public\pictures\69e3wyu-readme.txt
C:\users\public\music\69e3wyu-readme.txt
C:\users\public\libraries\69e3wyu-readme.txt
C:\users\public\favorites\69e3wyu-readme.txt
C:\users\public\downloads\69e3wyu-readme.txt
C:\users\public\documents\69e3wyu-readme.txt
C:\users\public\desktop\69e3wyu-readme.txt
C:\users\default\videos\69e3wyu-readme.txt
C:\users\default\saved games\69e3wyu-readme.txt
C:\users\default\pictures\69e3wyu-readme.txt
C:\users\default\music\69e3wyu-readme.txt
C:\users\default\links\69e3wyu-readme.txt
C:\users\default\favorites\69e3wyu-readme.txt
C:\users\default\downloads\69e3wyu-readme.txt
C:\users\default\desktop\69e3wyu-readme.txt
C:\users\default\documents\69e3wyu-readme.txt
%HOMEPATH%\downloads\69e3wyu-readme.txt
%HOMEPATH%\favorites\69e3wyu-readme.txt
%HOMEPATH%\favorites\msn websites\69e3wyu-readme.txt
%HOMEPATH%\favorites\microsoft websites\69e3wyu-readme.txt
%HOMEPATH%\favorites\links for united states\69e3wyu-readme.txt
%HOMEPATH%\favorites\links\69e3wyu-readme.txt
C:\users\public\videos\sample videos\69e3wyu-readme.txt
C:\users\public\recorded tv\sample media\69e3wyu-readme.txt
C:\users\public\pictures\sample pictures\69e3wyu-readme.txt
C:\users\public\music\sample music\69e3wyu-readme.txt
%ProgramFiles%\microsoft sql server compact edition\v3.5\desktop\69e3wyu-readme.txt
C:\far2\addons\xlat\russian\69e3wyu-readme.txt
C:\far2\plugins\drawline\69e3wyu-readme.txt
C:\far2\addons\colors\default_highlighting\69e3wyu-readme.txt
C:\far2\addons\colors\custom_highlighting\69e3wyu-readme.txt
%HOMEPATH%\voip\69e3wyu-readme.txt
%HOMEPATH%\videos\69e3wyu-readme.txt
%HOMEPATH%\searches\69e3wyu-readme.txt
%HOMEPATH%\saved games\69e3wyu-readme.txt
%HOMEPATH%\pictures\69e3wyu-readme.txt
%HOMEPATH%\music\69e3wyu-readme.txt
%HOMEPATH%\links\69e3wyu-readme.txt
%ProgramFiles%\microsoft sql server compact edition\v3.5\69e3wyu-readme.txt
C:\far2\pluginsdk\headers.pas\69e3wyu-readme.txt
C:\far2\pluginsdk\headers.c\69e3wyu-readme.txt
C:\users\public\69e3wyu-readme.txt
C:\users\default\69e3wyu-readme.txt
C:\totalcmd\language\69e3wyu-readme.txt
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\69e3wyu-readme.txt
%ProgramFiles%\microsoft sql server compact edition\69e3wyu-readme.txt
C:\far2\pluginsdk\69e3wyu-readme.txt
C:\far2\plugins\69e3wyu-readme.txt
C:\far2\fexcept\69e3wyu-readme.txt
C:\far2\encyclopedia\69e3wyu-readme.txt
C:\far2\documentation\69e3wyu-readme.txt
C:\far2\addons\69e3wyu-readme.txt
<Текущая директория>\69e3wyu-readme.txt
C:\users\69e3wyu-readme.txt
C:\totalcmd\69e3wyu-readme.txt
C:\recovery\69e3wyu-readme.txt
%ProgramFiles(x86)%\69e3wyu-readme.txt
%ProgramFiles%\69e3wyu-readme.txt
C:\far2\69e3wyu-readme.txt
C:\far2\addons\colors\69e3wyu-readme.txt
C:\far2\addons\macros\69e3wyu-readme.txt
%HOMEPATH%\69e3wyu-readme.txt
C:\far2\addons\setup\69e3wyu-readme.txt
C:\far2\plugins\tmppanel\69e3wyu-readme.txt
C:\far2\addons\shell\69e3wyu-readme.txt
C:\far2\plugins\proclist\69e3wyu-readme.txt
C:\far2\plugins\network\69e3wyu-readme.txt
C:\far2\plugins\macroview\69e3wyu-readme.txt
C:\far2\plugins\hlfviewer\69e3wyu-readme.txt
C:\far2\plugins\ftp\69e3wyu-readme.txt
C:\far2\plugins\filecase\69e3wyu-readme.txt
C:\far2\plugins\farcmds\69e3wyu-readme.txt
C:\far2\plugins\emenu\69e3wyu-readme.txt
C:\far2\plugins\ftp\lib\69e3wyu-readme.txt
%HOMEPATH%\favorites\windows live\69e3wyu-readme.txt
C:\far2\plugins\compare\69e3wyu-readme.txt
C:\far2\plugins\brackets\69e3wyu-readme.txt
C:\far2\plugins\autowrap\69e3wyu-readme.txt
C:\far2\plugins\arclite\69e3wyu-readme.txt
C:\far2\plugins\align\69e3wyu-readme.txt
C:\far2\encyclopedia\tap\69e3wyu-readme.txt
C:\far2\documentation\rus\69e3wyu-readme.txt
C:\far2\documentation\eng\69e3wyu-readme.txt
C:\far2\addons\xlat\69e3wyu-readme.txt
C:\far2\plugins\editcase\69e3wyu-readme.txt
D:\69e3wyu-readme.txt

Изменяет следующие файлы

C:\totalcmd\totalcmd.inc
C:\totalcmd\totalcmd.chm
C:\totalcmd\tcuninst.wul
C:\totalcmd\tcunin64.wul
C:\totalcmd\size!.txt
C:\totalcmd\register.rtf
C:\totalcmd\keyboard.txt
C:\totalcmd\no.bar
C:\totalcmd\history.txt
C:\totalcmd\descript.ion
C:\totalcmd\default.bar
C:\far2\farspa.lng
C:\far2\file_id.diz
C:\far2\farrus.lng
C:\far2\farrus.hlf
C:\far2\farpol.lng
C:\far2\farhun.lng
C:\far2\farhun.hlf
C:\far2\farger.lng
C:\far2\fareng.lng
C:\far2\fareng.hlf
C:\far2\farcze.lng
C:\far2\far.map
C:\far2\changelog_eng
C:\far2\changelog
C:\totalcmd\totalcmd64.exe.manifest
C:\totalcmd\wcuninst.wul

Изменяет множество файлов.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c vssadmin.exe Delete Shadows /All /Quiet & bcdedit /set {default} recoveryenabled No & bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c vssadmin.exe Delete Shadows /All /Quiet & bcdedit /set {default} recoveryenabled No & bcdedit /set {default} bootstatuspolicy ignoreallfailures