Trojan.Encoder.34337

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\accountsreceivable.ppt
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\sim_gametheory_to_finance.ppt
<Имя диска съемного носителя>:\al.xlsx
<Имя диска съемного носителя>:\price.zip
<Имя диска съемного носителя>:\4f0bf7ff71f28.jpg
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\disclosuredetails.xlsx
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\weeklysheet1215.doc

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\contoso.cer
%HOMEPATH%\desktop\contoso_1.cer
%HOMEPATH%\desktop\correct.avi
%HOMEPATH%\desktop\dashborder_96.bmp
%HOMEPATH%\desktop\default.bmp

Изменения в файловой системе

Создает следующие файлы

%TEMP%\jizewh_o.0.cs
%TEMP%\jizewh_o.cmdline
%TEMP%\jizewh_o.out
%TEMP%\csc3977.tmp
%TEMP%\res3978.tmp
%TEMP%\jizewh_o.dll
%TEMP%\esginiog.0.cs
%TEMP%\esginiog.cmdline
%TEMP%\esginiog.out
%TEMP%\csc4643.tmp
%TEMP%\res4644.tmp
%TEMP%\esginiog.dll
C:\totalcmd\51659e-readme.txt
%ProgramFiles(x86)%\qip 2012\51659e-readme.txt

Удаляет следующие файлы

%TEMP%\res3978.tmp
%TEMP%\csc3977.tmp
%TEMP%\jizewh_o.0.cs
%TEMP%\jizewh_o.cmdline
%TEMP%\jizewh_o.pdb
%TEMP%\jizewh_o.dll
%TEMP%\jizewh_o.out
%TEMP%\res4644.tmp
%TEMP%\csc4643.tmp
%TEMP%\esginiog.0.cs
%TEMP%\esginiog.dll
%TEMP%\esginiog.pdb
%TEMP%\esginiog.cmdline
%TEMP%\esginiog.out

Перемещает следующие файлы

%ProgramFiles(x86)%\qip 2012\unins000.msg в %ProgramFiles(x86)%\qip 2012\38335fec5698.51659e
%ProgramFiles(x86)%\mirc\readme.txt в %ProgramFiles(x86)%\mirc\6c6546239b.51659e
%ProgramFiles(x86)%\mirc\versions.txt в %ProgramFiles(x86)%\mirc\ee73a709a282.51659e

Изменяет следующие файлы

<Имя диска съемного носителя>:\508softwareandos.doc
%ProgramFiles(x86)%\mirc\readme.txt
C:\totalcmd\keyboard.txt
C:\totalcmd\default.bar
C:\totalcmd\history.txt
C:\totalcmd\totalcmd.inc
C:\totalcmd\descript.ion
%ProgramFiles(x86)%\qip 2012\unins000.msg
C:\far2\changelog_eng
C:\far2\changelog
C:\totalcmd\wcmicons.inc
<Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
<Имя диска съемного носителя>:\middaugh_keynote.pptx
<Имя диска съемного носителя>:\asaprojectcompetition.pptx
<Имя диска съемного носителя>:\roozenedowebinar.pptx
D:\install.log
<Имя диска съемного носителя>:\51.mp4
<Имя диска съемного носителя>:\4f0bf7ff71f28.jpg
<Имя диска съемного носителя>:\nwfieldnotes1966.docx
<Имя диска съемного носителя>:\glidescope_review_rev_010.docx
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\lisp_success.doc
<Имя диска съемного носителя>:\weeklysheet1215.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\ovp25012015.doc
%ProgramFiles(x86)%\mirc\versions.txt
%ProgramFiles(x86)%\mirc\mirc.chm

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\jizewh_o.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3978.tmp" "%TEMP%\CSC3977.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\esginiog.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4644.tmp" "%TEMP%\CSC4643.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\jizewh_o.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3978.tmp" "%TEMP%\CSC3977.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\esginiog.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4644.tmp" "%TEMP%\CSC4643.tmp"