Trojan.Encoder.35568

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe
<Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
<Имя диска съемного носителя>:\middaugh_keynote.pptx
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx
<Имя диска съемного носителя>:\waterresourcesag.pptx
<Имя диска съемного носителя>:\asaprojectcompetition.pptx
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\weeklysheet1215.doc
<Имя диска съемного носителя>:\notepad.exe
<Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
<Имя диска съемного носителя>:\sdszfo.docx
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\wrar520.exe
<Имя диска съемного носителя>:\tcm851ax32.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Изменения в файловой системе

Создает следующие файлы

%TEMP%\dlaksjdoiwq.jpg
%ProgramFiles%\a2guard\readme.txt
%ProgramFiles%\a2hijackfree\readme.txt
%ProgramFiles%\a2scan\readme.txt
%ProgramFiles%\a2service\readme.txt
%ProgramFiles%\a2start\readme.txt
%ProgramFiles%\a2upd\readme.txt
C:\recovery\readme.txt
%ProgramFiles%\a2wizard\readme.txt
%ProgramFiles%\about\readme.txt
%ProgramFiles%\ackwin32\readme.txt
%ProgramFiles%\admunch\readme.txt
%ProgramFiles%\agb5\readme.txt
%ProgramFiles%\ageofconan\readme.txt
%ProgramFiles%\ahnsd\readme.txt
%ProgramFiles%\360tray\readme.txt
%ProgramFiles%\a2cmd\readme.txt
C:\perflogs\admin\readme.txt
C:\msocache\all users\readme.txt
C:\far2\pluginsdk\readme.txt
<Текущая директория>\readme.txt
C:\far2\readme.txt
C:\msocache\readme.txt
C:\perflogs\readme.txt
%ProgramFiles%\readme.txt
%ProgramFiles(x86)%\readme.txt
%ProgramFiles%\aim6\readme.txt
%ProgramFiles%\aavshield\readme.txt
%ALLUSERSPROFILE%\readme.txt
C:\users\readme.txt
D:\$recycle.bin\readme.txt
C:\far2\documentation\readme.txt
C:\far2\encyclopedia\readme.txt
C:\far2\fexcept\readme.txt
C:\far2\plugins\readme.txt
%TEMP%\fkdjsadasd.ico
C:\totalcmd\readme.txt
%ProgramFiles%\aimpro\readme.txt

Изменяет следующие файлы

<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\cveuropeo.doc
<Имя диска съемного носителя>:\weeklysheet1215.doc
C:\far2\addons\readme.txt

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Ищет следующие окна

ClassName: 'SystemTray_Main' WindowName: ''

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysNative\vssadmin.exe delete shadows /all /quiet
'%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\vssadmin.exe delete shadows /all /quiet