Trojan.Encoder.35174

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\recovery information.txt
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\february_catalogue__2015.doc

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

удаляет теневые копии разделов.

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles%\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\vignette\recovery information.txt
%ProgramFiles%\msbuild\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\travel\recovery information.txt
D:\recovery information.txt
D:\$recycle.bin\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\videowall\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\sports\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\stacking\recovery information.txt
D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\shatter\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\specialoccasion\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\rectangles\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\resizingpanels\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\pets\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\push\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\oldage\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\performance\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\layeredtitles\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\memories\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\full\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\huecycle\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\flippage\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\babygirl\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\babyboy\recovery information.txt
%ProgramFiles%\dvd maker\shared\dvdstyles\recovery information.txt
%ProgramFiles%\dvd maker\shared\recovery information.txt
%ProgramFiles%\dvd maker\en-us\recovery information.txt
%ProgramFiles%\dvd maker\recovery information.txt
C:\$recycle.bin\recovery information.txt
%ProgramFiles%\uninstall information\recovery information.txt
%ProgramFiles%\msbuild\microsoft\recovery information.txt

Изменяет следующие файлы

<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'<SYSTEM32>\vssadmin.exe' delete shadows /all /quiet' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} bootstatuspolicy ignoreallfailures' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} recoveryenabled no' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} recoveryenabled no
'<SYSTEM32>\bcdedit.exe' /set {current} bootstatuspolicy ignoreallfailures