Trojan.Encoder.35126

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\howto-index.html
%HOMEPATH%\desktop\ituneshelpunavailable.html
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\pmd.cer
%HOMEPATH%\desktop\tree_view.html
%HOMEPATH%\desktop\pushkin.jpeg
%HOMEPATH%\desktop\region-north-karelia.jpeg
%HOMEPATH%\desktop\sdkfailsafeemulator.cer
%HOMEPATH%\desktop\testee.cer
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\tree_view.htm
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\dashborder_144.bmp
%HOMEPATH%\desktop\210252809.jpeg
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\mozilla\firefox\profiles.ini
%APPDATA%\opera software\opera stable\login data
%APPDATA%\thunderbird\profiles.ini
%HOMEPATH%\desktop\1189.jpeg
%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\contosoroot_1.cer
%HOMEPATH%\desktop\alert.html
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\api-hashmap.html
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\browse.htm
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'RegmonClass', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\google\chrome\user data\default\web applications\_crx_aohghmighlieiainnegkcijnfilokake\документы google.ico
%LOCALAPPDATA%\google\chrome\user data\default\web applications\_crx_aohghmighlieiainnegkcijnfilokake\документы google.ico.md5

Изменяет следующие файлы

%LOCALAPPDATA%\adobe\acrobat\dc\adobecmapfnt15.lst
%LOCALAPPDATA%\google\chrome\user data\default\cache\f_000004
%LOCALAPPDATA%\google\chrome\user data\default\cache\f_000003
%LOCALAPPDATA%\google\chrome\user data\default\cache\f_000002
%LOCALAPPDATA%\google\chrome\user data\default\cache\f_000001
%LOCALAPPDATA%\google\chrome\user data\default\cache\data_3
%LOCALAPPDATA%\google\chrome\user data\default\cache\data_2
%LOCALAPPDATA%\google\chrome\user data\default\cache\data_1
%LOCALAPPDATA%\google\chrome\user data\default\cache\data_0
%LOCALAPPDATA%\google\chrome\user data\chrome_shutdown_ms.txt
%LOCALAPPDATA%\gdipfontcachev1.dat
%LOCALAPPDATA%\applicationhistory\ngen.exe.2c05686e.ini
%LOCALAPPDATA%\adobe\color\profiles\wsrgb.icc
%LOCALAPPDATA%\adobe\color\profiles\wscrgb.icc
%LOCALAPPDATA%\adobe\color\acecache11.lst
%LOCALAPPDATA%\adobe\acrocef\dc\acrobat\cookie\cookies-journal
%LOCALAPPDATA%\adobe\acrocef\dc\acrobat\cookie\cookies
%LOCALAPPDATA%\adobe\acrocef\dc\acrobat\cache\index
%LOCALAPPDATA%\adobe\acrocef\dc\acrobat\cache\data_3
%LOCALAPPDATA%\adobe\acrocef\dc\acrobat\cache\data_2
%LOCALAPPDATA%\adobe\acrocef\dc\acrobat\cache\data_1
%LOCALAPPDATA%\adobe\acrocef\dc\acrobat\cache\data_0
%LOCALAPPDATA%\adobe\acrocef\dc\acrobat\cache\chromedwritefontcache
%LOCALAPPDATA%\adobe\acrobat\dc\usercache.bin
%LOCALAPPDATA%\adobe\acrobat\dc\shareddataevents
%LOCALAPPDATA%\adobe\acrobat\dc\iconcacherdr.dat
%LOCALAPPDATA%\adobe\acrobat\dc\cache\acrofnt15.lst
%LOCALAPPDATA%\adobe\acrobat\dc\adobesysfnt15.lst
%LOCALAPPDATA%\google\chrome\user data\default\cache\f_000005
%LOCALAPPDATA%\google\chrome\user data\default\cache\f_000006

Изменяет множество файлов.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

UDP

'13#.#9.147.33':25

Другое

Ищет следующие окна

ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''

Запускает на исполнение