Trojan.Encoder.33731

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\xy170-readme.txt

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\tileimage.bmp
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\testcertificate.cer
%HOMEPATH%\desktop\split.avi
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\join.avi
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\dialmap.bmp
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\dashborder_120.bmp
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\contosoroot_1.cer
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\toolbar.bmp
%HOMEPATH%\desktop\weeklysheet1215.doc

Изменения в файловой системе

Создает следующие файлы

C:\xy170-readme.txt
%HOMEPATH%\documents\xy170-readme.txt
%HOMEPATH%\desktop\xy170-readme.txt
%HOMEPATH%\contacts\xy170-readme.txt
C:\users\public\videos\xy170-readme.txt
C:\users\public\recorded tv\xy170-readme.txt
C:\users\public\pictures\xy170-readme.txt
C:\users\public\music\xy170-readme.txt
C:\users\public\libraries\xy170-readme.txt
C:\users\public\favorites\xy170-readme.txt
C:\users\public\downloads\xy170-readme.txt
C:\users\public\documents\xy170-readme.txt
C:\users\public\desktop\xy170-readme.txt
C:\users\default\videos\xy170-readme.txt
C:\users\default\saved games\xy170-readme.txt
C:\users\default\pictures\xy170-readme.txt
C:\users\default\music\xy170-readme.txt
C:\users\default\links\xy170-readme.txt
C:\users\default\favorites\xy170-readme.txt
C:\users\default\downloads\xy170-readme.txt
C:\users\default\desktop\xy170-readme.txt
C:\users\default\documents\xy170-readme.txt
%HOMEPATH%\downloads\xy170-readme.txt
%HOMEPATH%\favorites\xy170-readme.txt
%HOMEPATH%\favorites\msn websites\xy170-readme.txt
%HOMEPATH%\favorites\microsoft websites\xy170-readme.txt
%HOMEPATH%\favorites\links for united states\xy170-readme.txt
%HOMEPATH%\favorites\links\xy170-readme.txt
C:\users\public\videos\sample videos\xy170-readme.txt
C:\users\public\recorded tv\sample media\xy170-readme.txt
C:\users\public\pictures\sample pictures\xy170-readme.txt
C:\users\public\music\sample music\xy170-readme.txt
%ProgramFiles%\microsoft sql server compact edition\v3.5\desktop\xy170-readme.txt
C:\far2\addons\xlat\russian\xy170-readme.txt
C:\far2\plugins\drawline\xy170-readme.txt
C:\far2\addons\colors\default_highlighting\xy170-readme.txt
C:\far2\addons\colors\custom_highlighting\xy170-readme.txt
%HOMEPATH%\voip\xy170-readme.txt
%HOMEPATH%\videos\xy170-readme.txt
%HOMEPATH%\searches\xy170-readme.txt
%HOMEPATH%\saved games\xy170-readme.txt
%HOMEPATH%\pictures\xy170-readme.txt
%HOMEPATH%\music\xy170-readme.txt
%HOMEPATH%\links\xy170-readme.txt
%ProgramFiles%\microsoft sql server compact edition\v3.5\xy170-readme.txt
C:\far2\pluginsdk\headers.pas\xy170-readme.txt
C:\far2\pluginsdk\headers.c\xy170-readme.txt
C:\users\public\xy170-readme.txt
C:\users\default\xy170-readme.txt
C:\totalcmd\language\xy170-readme.txt
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\xy170-readme.txt
%ProgramFiles%\microsoft sql server compact edition\xy170-readme.txt
C:\far2\pluginsdk\xy170-readme.txt
C:\far2\plugins\xy170-readme.txt
C:\far2\fexcept\xy170-readme.txt
C:\far2\encyclopedia\xy170-readme.txt
C:\far2\documentation\xy170-readme.txt
C:\far2\addons\xy170-readme.txt
<Текущая директория>\xy170-readme.txt
C:\users\xy170-readme.txt
C:\totalcmd\xy170-readme.txt
C:\recovery\xy170-readme.txt
%ProgramFiles(x86)%\xy170-readme.txt
%ProgramFiles%\xy170-readme.txt
C:\far2\xy170-readme.txt
C:\far2\addons\colors\xy170-readme.txt
C:\far2\addons\macros\xy170-readme.txt
%HOMEPATH%\xy170-readme.txt
C:\far2\addons\setup\xy170-readme.txt
C:\far2\plugins\tmppanel\xy170-readme.txt
C:\far2\addons\shell\xy170-readme.txt
C:\far2\plugins\proclist\xy170-readme.txt
C:\far2\plugins\network\xy170-readme.txt
C:\far2\plugins\macroview\xy170-readme.txt
C:\far2\plugins\hlfviewer\xy170-readme.txt
C:\far2\plugins\ftp\xy170-readme.txt
C:\far2\plugins\filecase\xy170-readme.txt
C:\far2\plugins\farcmds\xy170-readme.txt
C:\far2\plugins\emenu\xy170-readme.txt
C:\far2\plugins\ftp\lib\xy170-readme.txt
%HOMEPATH%\favorites\windows live\xy170-readme.txt
C:\far2\plugins\compare\xy170-readme.txt
C:\far2\plugins\brackets\xy170-readme.txt
C:\far2\plugins\autowrap\xy170-readme.txt
C:\far2\plugins\arclite\xy170-readme.txt
C:\far2\plugins\align\xy170-readme.txt
C:\far2\encyclopedia\tap\xy170-readme.txt
C:\far2\documentation\rus\xy170-readme.txt
C:\far2\documentation\eng\xy170-readme.txt
C:\far2\addons\xlat\xy170-readme.txt
C:\far2\plugins\editcase\xy170-readme.txt
D:\xy170-readme.txt

Изменяет следующие файлы

C:\totalcmd\totalcmd64.exe.manifest
C:\totalcmd\totalcmd.inc
C:\totalcmd\tcuninst.wul
C:\totalcmd\tcunin64.wul
C:\totalcmd\size!.txt
C:\totalcmd\register.rtf
C:\totalcmd\no.bar
C:\totalcmd\keyboard.txt
C:\totalcmd\history.txt
C:\totalcmd\descript.ion
C:\totalcmd\default.bar
C:\far2\farspa.lng
C:\far2\farrus.hlf
C:\far2\file_id.diz
C:\far2\farrus.lng
C:\far2\farpol.lng
C:\far2\farhun.hlf
C:\far2\farhun.lng
C:\far2\farger.lng
C:\far2\fareng.lng
C:\far2\fareng.hlf
C:\far2\farcze.lng
C:\far2\far.map
C:\far2\changelog_eng
C:\far2\changelog
C:\totalcmd\wcmicons.inc
C:\totalcmd\totalcmd.chm

Изменяет множество файлов.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c vssadmin.exe Delete Shadows /All /Quiet & bcdedit /set {default} recoveryenabled No & bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c vssadmin.exe Delete Shadows /All /Quiet & bcdedit /set {default} recoveryenabled No & bcdedit /set {default} bootstatuspolicy ignoreallfailures