Trojan.Encoder.34076

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\Delta Encrypt\Shell\Open\Command] '' = '%WINDIR%\SysWow64\mshta.exe "%C:\Info.hta"'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\notepad.exe
<Имя диска съемного носителя>:\utorrent.exe
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\weeklysheet1215.doc
<Имя диска съемного носителя>:\lisp_success.doc
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\chromesetup.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Изменения в файловой системе

Создает следующие файлы

C:\info.hta
%WINDIR%\delog.cmd

Изменяет следующие файлы

<Имя диска съемного носителя>:\archer.avi.[delta]gtar8797
<Имя диска съемного носителя>:\february_catalogue__2015.doc.[delta]gtar8797
<Имя диска съемного носителя>:\weeklysheet1215.doc.[delta]gtar8797
<Имя диска съемного носителя>:\lisp_success.doc.[delta]gtar8797
<Имя диска съемного носителя>:\testcertificate.cer.[delta]gtar8797
<Имя диска съемного носителя>:\contoso_1.cer.[delta]gtar8797
<Имя диска съемного носителя>:\contosoroot.cer.[delta]gtar8797
<Имя диска съемного носителя>:\contoso.cer.[delta]gtar8797
<Имя диска съемного носителя>:\contosoroot_1.cer.[delta]gtar8797
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.[delta]gtar8797
<Имя диска съемного носителя>:\dashborder_192.bmp.[delta]gtar8797
<Имя диска съемного носителя>:\dashborder_96.bmp.[delta]gtar8797
<Имя диска съемного носителя>:\dashborder_144.bmp.[delta]gtar8797
<Имя диска съемного носителя>:\toolbar.bmp.[delta]gtar8797
<Имя диска съемного носителя>:\000814251_video_01.avi.[delta]gtar8797
<Имя диска съемного носителя>:\correct.avi.[delta]gtar8797
<Имя диска съемного носителя>:\join.avi.[delta]gtar8797
<Имя диска съемного носителя>:\delete.avi.[delta]gtar8797
<Имя диска съемного носителя>:\dialmap.bmp.[delta]gtar8797
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.[delta]gtar8797

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%WINDIR%\delog.cmd" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c vssadmin.exe delete shadows /all' (со скрытым окном)

Запускает на исполнение