Trojan.Encoder.34226

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'empty'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%WINDIR%\Temp\firefox.exe"'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'jester' = '"%WINDIR%\Temp\jester.exe"'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

блокирует:

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

Изменяет следующие файлы

C:\far2\addons\readme.txt
C:\users\public\music\sample music\sleep away.mp3
C:\users\public\music\sample music\maid with the flaxen hair.mp3
C:\users\public\music\sample music\kalimba.mp3
C:\users\public\music\sample music\folder.jpg
C:\users\public\music\sample music\albumart_{5fa05d35-a682-4af6-96f7-0773e42d4d16}_small.jpg
C:\users\public\music\sample music\albumart_{5fa05d35-a682-4af6-96f7-0773e42d4d16}_large.jpg
C:\users\public\music\sample music\albumartsmall.jpg
C:\totalcmd\size!.txt
C:\totalcmd\register.rtf
C:\totalcmd\keyboard.txt
C:\totalcmd\history.txt
C:\far2\plugins\ftp\notes_rus.txt
C:\far2\plugins\ftp\notes.txt
C:\far2\plugins\ftp\ftpcmds_rus.txt
C:\far2\plugins\ftp\ftpcmds.txt
C:\far2\documentation\rus\techinfo.txt
C:\far2\documentation\rus\plugins_review.txt
C:\far2\documentation\rus\plugins_install.txt
C:\far2\documentation\rus\far_faq.txt
C:\far2\documentation\rus\bug_report.txt
C:\far2\documentation\rus\arc_support.txt
C:\far2\documentation\eng\techinfo.txt
C:\far2\documentation\eng\plugins_review.txt
C:\far2\documentation\eng\plugins_install.txt
C:\far2\documentation\eng\far_faq.txt
C:\far2\documentation\eng\bug_report.txt
C:\far2\documentation\eng\arc_support.txt
C:\users\public\pictures\sample pictures\chrysanthemum.jpg
C:\users\public\pictures\sample pictures\desert.jpg

Изменяет множество файлов.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

Подключается к

TCP

Другие

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%WINDIR%\temp\malware.exe'
'%WINDIR%\temp\firefox.exe'
'%WINDIR%\temp\jester.exe'
'%WINDIR%\syswow64\cmd.exe' /k takeown /f <SYSTEM32> && icacls <SYSTEM32> /grant "%username%:F" && exit' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /k takeown /f <SYSTEM32> && icacls <SYSTEM32> /grant "%username%:F" && exit
'%WINDIR%\syswow64\takeown.exe' /f <SYSTEM32>
'%WINDIR%\syswow64\icacls.exe' <SYSTEM32> /grant "user:F"