Trojan.Encoder.33919

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Infected' = 'cf53ccbf4b499b9d7a901121082dd80f303e30c5de21dfa8c23265538a25edf9cf53ccbf4b499b9d7a901121082dd80f'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Security Update' = '%HOMEPATH%\WindowsSecurityUpdate.exe /onboot'

Заражает следующие исполняемые файлы

C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\1033\dwintl20.dll
%HOMEPATH%\downloads\mirc741.exe
%HOMEPATH%\downloads\pidgin-2.10.11.exe
%HOMEPATH%\downloads\tcmd851ax64.exe
%HOMEPATH%\downloads\winamp5666_full_all.exe
C:\totalcmd\noclose64.exe
C:\totalcmd\tc7z64.dll
C:\totalcmd\tcmadm64.exe
%HOMEPATH%\desktop\utorrent.exe
C:\totalcmd\tcmdx32.exe
C:\totalcmd\tcunin64.exe
C:\totalcmd\tcunzl64.dll
C:\totalcmd\totalcmd64.exe
C:\totalcmd\tcusbrun.exe
C:\totalcmd\unrar64.dll
%HOMEPATH%\downloads\magent_rfrset.exe
%HOMEPATH%\downloads\jre-8u45-windows-x64.exe
%HOMEPATH%\downloads\icq_rfrset.exe
%HOMEPATH%\downloads\thunderbird setup 31.6.0.exe
%HOMEPATH%\downloads\steamsetup.exe
%HOMEPATH%\downloads\opera_ni_stable.exe
%HOMEPATH%\downloads\k-lite_codec_pack_1110_mega_dlm.exe
%HOMEPATH%\downloads\k-lite_codec_pack_1110_mega.exe
%HOMEPATH%\downloads\chromesetup.exe
C:\totalcmd\tclzma64.dll
%HOMEPATH%\desktop\dotnetfx45_full_setup.exe
%HOMEPATH%\desktop\chromesetup.exe
C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\osetupui.dll
C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\msvcr90.dll
C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\dwtrig20.exe
C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\dwdcw20.dll
C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\dw20.exe
C:\totalcmd\wcmicons.dll
C:\totalcmd\wcmzip64.dll

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)

блокирует:

Компонент восстановления системы (SR)

удаляет теневые копии разделов.

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\13.jpeg
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\join.avi
%HOMEPATH%\desktop\issi2013_template_for_posters.docx
%HOMEPATH%\desktop\iisstart.html
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\default.bmp
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\dashborder_120.bmp
%HOMEPATH%\desktop\correct.avi
%HOMEPATH%\desktop\browse.html
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\210252809.jpeg
%HOMEPATH%\desktop\2.jpeg
%HOMEPATH%\desktop\trivial-merge.html
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\windowssecurityupdate.exe

Перемещает следующие файлы

%HOMEPATH%\windowssecurityupdate.exe в %HOMEPATH%\windowssecurityupdate.exe.gonnacry

Изменяет следующие файлы

C:\far2\addons\colors\custom_highlighting\import_colors.bat
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\propsww2.cab
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\propsww.cab
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.xml
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.msi
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.xml
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.msi
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\owow32ww.cab
C:\far2\plugins\ftp\notes_rus.txt
C:\far2\plugins\ftp\notes.txt
C:\far2\plugins\ftp\ftpcmds_rus.txt
C:\far2\plugins\ftp\ftpcmds.txt
C:\far2\documentation\rus\techinfo.txt
C:\far2\documentation\rus\plugins_review.txt
C:\far2\documentation\rus\plugins_install.txt
C:\far2\documentation\rus\far_faq.txt
C:\far2\documentation\rus\bug_report.txt
C:\far2\documentation\rus\arc_support.txt
C:\far2\documentation\eng\techinfo.txt
C:\far2\documentation\eng\plugins_review.txt
C:\far2\documentation\eng\plugins_install.txt
C:\far2\documentation\eng\far_faq.txt
C:\far2\documentation\eng\bug_report.txt
C:\far2\documentation\eng\arc_support.txt
C:\far2\addons\readme.txt
C:\far2\addons\colors\import_colors.bat
C:\far2\addons\colors\export_colors.bat
C:\far2\addons\colors\default_highlighting\import_colors.bat
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\setup.xml
C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excellr.cab

Изменяет множество файлов.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Запускает на исполнение

'<SYSTEM32>\tasklist.exe' /FO csv
'<SYSTEM32>\cmd.exe' /c vssadmin delete shadow /all /quiet & wmic shadowcopy delete & bcdedit /set {default} boostatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog ...
'<SYSTEM32>\vssadmin.exe' delete shadow /all /quiet
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} recoveryenabled No cmd.exe /C bcdedit /set {default} bootstatuspolicy ignoreallfailures <SYSTEM32>\cmd.exe /C vssadmin.exe Delete Shadows /All Quiet
'<SYSTEM32>\cmd.exe' /c REG add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
'<SYSTEM32>\cmd.exe' /c REG ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "Windows Security Update" /t REG_SZ /d "%HOMEPATH%\WindowsSecurityUpdate.exe /onboot" /f
'<SYSTEM32>\reg.exe' ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "Windows Security Update" /t REG_SZ /d "%HOMEPATH%\WindowsSecurityUpdate.exe /onboot" /f