Trojan.Encoder.33655

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '{53BCAB5C-9908-5594-0BCB-A5928ADED6C7}' = '%APPDATA%\guide.exe'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\contosoroot.cer
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\dashborder_96.bmp
%HOMEPATH%\desktop\default.bmp
%HOMEPATH%\desktop\delete.avi
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\nwfieldnotes1966.docx

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\guide.exe
C:\far2\plugins\drawline\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\editcase\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\emenu\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\farcmds\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\filecase\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\ftp\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\ftp\lib\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\hlfviewer\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\macroview\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\network\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\tmppanel\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\public\videos\sample videos\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\pluginsdk\headers.c\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\pluginsdk\headers.pas\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\totalcmd\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\totalcmd\language\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\default\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\public\desktop\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\public\music\sample music\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\public\pictures\sample pictures\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\public\recorded tv\sample media\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\compare\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\proclist\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\brackets\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\addons\colors\custom_highlighting\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%TEMP%\{41e91d1b-41e9-41e9-41e9-41e91d1b8a37}.bat
%HOMEPATH%\contacts\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\desktop\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\favorites\links\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\favorites\links for united states\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\favorites\microsoft websites\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\favorites\msn websites\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\favorites\windows live\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\links\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\searches\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\addons\colors\default_highlighting\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\arclite\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\addons\colors\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\addons\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\addons\shell\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\documentation\eng\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\documentation\rus\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\encyclopedia\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\encyclopedia\tap\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\fexcept\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\align\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\autowrap\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
D:\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt

Удаляет следующие файлы

%APPDATA%\guide.exe

Изменяет следующие файлы

%HOMEPATH%\contacts\user.contact
%HOMEPATH%\favorites\msn websites\msn.url
%HOMEPATH%\favorites\msn websites\msn sports.url
%HOMEPATH%\favorites\msn websites\msn money.url
%HOMEPATH%\favorites\msn websites\msn entertainment.url
%HOMEPATH%\favorites\msn websites\msn autos.url
%HOMEPATH%\favorites\microsoft websites\microsoft store.url
%HOMEPATH%\favorites\microsoft websites\microsoft at work.url
%HOMEPATH%\favorites\microsoft websites\microsoft at home.url
%HOMEPATH%\favorites\microsoft websites\ie site on microsoft.com.url
%HOMEPATH%\favorites\microsoft websites\ie add-on site.url
%HOMEPATH%\favorites\links for united states\usa.gov.url
%HOMEPATH%\favorites\links for united states\gobiernousa.gov.url
%HOMEPATH%\favorites\links\web slice gallery.url
%HOMEPATH%\favorites\links\suggested sites.url
%HOMEPATH%\desktop\total commander 64 bit.lnk
%HOMEPATH%\desktop\telegram.lnk
%HOMEPATH%\desktop\qip 2012.lnk
%HOMEPATH%\desktop\mail.ru agent.lnk
%HOMEPATH%\desktop\icq.lnk
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\delete.avi
%HOMEPATH%\desktop\default.bmp
%HOMEPATH%\desktop\dashborder_96.bmp
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\contosoroot.cer
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\favorites\msn websites\msnbc news.url
%HOMEPATH%\favorites\windows live\get windows live.url

Изменяет множество файлов.

Подменяет следующие файлы

%APPDATA%\guide.exe

Самоудаляется.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

Подключается к

'ip###ger.com':80
'ip###ger.org':443
'microsoft.com':80
'oc##.#ectigo.com':80

TCP

'ip###ger.com':443

UDP

DNS ASK ip###ger.com
DNS ASK ip###ger.org
DNS ASK microsoft.com
DNS ASK oc##.#ectigo.com

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\{41E91D1B-41E9-41E9-41E9-41E91D1B8A37}.bat' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled No' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\{41E91D1B-41E9-41E9-41E9-41E91D1B8A37}.bat
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled No
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней