Trojan.Encoder.34065

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SysHelper' = '"%LOCALAPPDATA%\834e2b70-99c8-421e-9855-f959f306ae35\<Имя файла>.exe" --AutoStart'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\time trigger task

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx
<Имя диска съемного носителя>:\asaprojectcompetition.pptx
<Имя диска съемного носителя>:\skypesetup.exe
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\chromesetup.exe
<Имя диска съемного носителя>:\wrar520.exe
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe
<Имя диска съемного носителя>:\utorrent.exe
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\weeklysheet1215.doc
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\middaugh_keynote.pptx
<Имя диска съемного носителя>:\roozenedowebinar.pptx

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\834e2b70-99c8-421e-9855-f959f306ae35\<Имя файла>.exe
%LOCALAPPDATA%\bowsakkdestx.txt
C:\systemid\personalid.txt
%LOCALAPPDATA%\8fd0a85e-1909-49dd-80f3-9007c93f0e44\5.exe

Удаляет следующие файлы

<SYSTEM32>\tasks\time trigger task

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

Подключается к

'ap#.2ip.ua':443
'vr##.top':80
'microsoft.com':80

TCP

Запросы HTTP GET

http://vr##.top/nddddhsspen6/get.php?pi#############################################

Другие

'ap#.2ip.ua':443
'ba#####re.tumblr.com':443

UDP

DNS ASK ap#.2ip.ua
DNS ASK vr##.top
DNS ASK ba#####re.tumblr.com
DNS ASK microsoft.com

Другое

Создает и запускает на исполнение

'%LOCALAPPDATA%\8fd0a85e-1909-49dd-80f3-9007c93f0e44\5.exe'
'%LOCALAPPDATA%\834e2b70-99c8-421e-9855-f959f306ae35\<Имя файла>.exe' --Task
'%WINDIR%\syswow64\icacls.exe' "%LOCALAPPDATA%\834e2b70-99c8-421e-9855-f959f306ae35" /deny *S-1-1-0:(OI)(CI)(DE,DC)' (со скрытым окном)
'%LOCALAPPDATA%\834e2b70-99c8-421e-9855-f959f306ae35\<Имя файла>.exe' --Task' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\icacls.exe' "%LOCALAPPDATA%\834e2b70-99c8-421e-9855-f959f306ae35" /deny *S-1-1-0:(OI)(CI)(DE,DC)
'<SYSTEM32>\taskeng.exe' {0049E6BC-67F8-4F0D-A6BB-30EE10DDEAFB} S-1-5-21-1960123792-2022915161-3775307078-1001:icrxwrlhx\user:Interactive:[1]