Trojan.Encoder.35438

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\reload1.lnk

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\Dnscache] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\FDResPub] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\SSDPSRV] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\upnphost] 'Start' = '00000002'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\join.avi

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /IM RaccineSettings.exe
'%WINDIR%\syswow64\taskkill.exe' /IM wordpad.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM ocautoupds.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM ocssd.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM sqlagent.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM msftesql.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM thebat64.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM sqlservr.exe /F
'%WINDIR%\syswow64\taskkill.exe' IM thunderbird.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM powerpnt.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mysqld-opt.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM dbsnmp.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM CNTAoSMgr.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM ocomm.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM sqlbrowser.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM oracle.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM xfssvccon.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM winword.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM infopath.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM sqlwriter.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mbamtray.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mysqld-nt.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM zoolz.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM dbeng50.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mspub.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM synctime.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mydesktopqos.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM Ntrtscan.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mydesktopservice.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM sqbcoreservice.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM agntsvc.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM isqlplussvc.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM PccNTMon.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM firefoxconfig.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM thebat.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM onenote.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mysqld.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM steam.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM encsvc.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM outlook.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM msaccess.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM tmlisten.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM excel.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM visio.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM tbirdconfig.exe /F

Изменения в файловой системе

Создает следующие файлы

%TEMP%\restore_them.txt

Подменяет следующие файлы

C:\Users\Public\Music\Sample Music\AlbumArtSmall.jpg
C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Large.jpg
C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Small.jpg
C:\Users\Public\Music\Sample Music\Folder.jpg

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

Подключается к

'gi##ub.com':443

TCP

Другие

'gi##ub.com':443

UDP

DNS ASK gi##ub.com
'localhost':50587
'localhost':50465

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Запускает на исполнение

'%WINDIR%\syswow64\reg.exe' delete "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Raccine Tray" /F
'%WINDIR%\syswow64\reg.exe' delete HKCU\Software\Raccine /F
'%WINDIR%\syswow64\schtasks.exe' /DELETE /TN "Raccine Rules Updater" /F
'%WINDIR%\syswow64\sc.exe' config Dnscache start= auto
'%WINDIR%\syswow64\sc.exe' config SQLTELEMETRY start= disabled
'%WINDIR%\syswow64\sc.exe' config FDResPub start= auto
'%WINDIR%\syswow64\sc.exe' config SSDPSRV start= auto
'%WINDIR%\syswow64\sc.exe' config SQLTELEMETRY$ECWDB2 start= disabled
'%WINDIR%\syswow64\sc.exe' config SstpSvc start= disabled
'%WINDIR%\syswow64\sc.exe' config SQLWriter start= disabled
'%WINDIR%\syswow64\sc.exe' config upnphost start= auto
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %SYSTEMDRIVE%\\$Recycle.bin
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' & Get-WmiObject Win32_Shadowcopy | ForEach-Object { $_Delete(); }