Trojan.Encoder.34141

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\000814251_video_01.avi.garminwasted_info
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\testcertificate.cer.garminwasted_info
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\pmd.cer.garminwasted_info
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.garminwasted_info
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer.garminwasted_info
<Имя диска съемного носителя>:\lisp_success.doc.garminwasted_info
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc.garminwasted_info
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\ovp25012015.doc.garminwasted_info
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\fi51.doc.garminwasted_info
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\lisp_success.doc
<Имя диска съемного носителя>:\applicantform_en.doc.garminwasted_info
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.garminwasted_info
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.garminwasted_info
<Имя диска съемного носителя>:\correct.avi.garminwasted_info
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\archer.avi.garminwasted_info
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\dashborder_120.bmp.garminwasted_info
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\tileimage.bmp.garminwasted_info
<Имя диска съемного носителя>:\tileimage.bmp
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\dialmap.bmp.garminwasted_info
<Имя диска съемного носителя>:\coffee.bmp.garminwasted_info
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\dial.bmp.garminwasted_info
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\toolbar.bmp.garminwasted_info
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp.garminwasted_info
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\weeklysheet1215.doc.garminwasted_info
<Имя диска съемного носителя>:\weeklysheet1215.doc

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\syswow64\netsh.exe

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: 'RegmonClass', WindowName: ''
ClassName: 'OLLYDBG', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

<SYSTEM32>\wasted.exe
<SYSTEM32>\cerber.exe
<SYSTEM32>\johnathangalindo.dll
%APPDATA%\class
%TEMP%\lck.log

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\class

Изменяет следующие файлы

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

Подключается к

'cd#.##scordapp.com':443
'microsoft.com':80

TCP

Другие

'cd#.##scordapp.com':443

UDP

DNS ASK cd#.##scordapp.com
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''

Создает и запускает на исполнение