Trojan.Encoder.35937

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'taskeng.exe' = '"%APPDATA%\Microsoft\Windows\taskeng.exe" -start'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\how_to_recover_data.hta
<Имя диска съемного носителя>:\iisstart.htm
<Имя диска съемного носителя>:\browse.htm
<Имя диска съемного носителя>:\garden.htm
<Имя диска съемного носителя>:\alert.htm
<Имя диска съемного носителя>:\64bit_notes.htm
<Имя диска съемного носителя>:\tree_view.htm
<Имя диска съемного носителя>:\alert.html
<Имя диска съемного носителя>:\howto-index.html
<Имя диска съемного носителя>:\about.html
<Имя диска съемного носителя>:\iisstart.html
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\ituneshelpunavailable.html
<Имя диска съемного носителя>:\parnas_01.jpeg
<Имя диска съемного носителя>:\2.jpeg
<Имя диска съемного носителя>:\13.jpeg
<Имя диска съемного носителя>:\region-north-karelia.jpeg
<Имя диска съемного носителя>:\pushkin.jpeg
<Имя диска съемного носителя>:\pushkin.jpg
<Имя диска съемного носителя>:\1189.jpg
<Имя диска съемного носителя>:\firefly1.mov
<Имя диска съемного носителя>:\dag2_panel1_320_ref.mov
<Имя диска съемного носителя>:\etc6_m_1.mov
<Имя диска съемного носителя>:\4f0bf7ff71f28.jpeg
<Имя диска съемного носителя>:\1189.jpeg
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe
<Имя диска съемного носителя>:\notepad.exe
<Имя диска съемного носителя>:\wrar520.exe
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\weeklysheet1215.doc
<Имя диска съемного носителя>:\nwfieldnotes1966.docx
<Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
<Имя диска съемного носителя>:\adhd_and_obesity.docx
<Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
<Имя диска съемного носителя>:\sdszfo.docx
<Имя диска съемного носителя>:\skypesetup.exe
<Имя диска съемного носителя>:\tcm851ax32.exe
<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe
<Имя диска съемного носителя>:\utorrent.exe
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\scan.mov
<Имя диска съемного носителя>:\clip_1080_5sec_10mbps_h264.mp4

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\notepad.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ea038df0.zeppelin
C:\far2\addons\colors\how_to_recover_data.hta
C:\far2\addons\how_to_recover_data.hta
C:\far2\how_to_recover_data.hta
C:\documents and settings\how_to_recover_data.hta
C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\how_to_recover_data.hta
C:\$recycle.bin\how_to_recover_data.hta
C:\how_to_recover_data.hta
C:\far2\.zeppelin
C:\far2\addons\colors\custom_highlighting\how_to_recover_data.hta
C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\.zeppelin
D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\how_to_recover_data.hta
D:\$recycle.bin\how_to_recover_data.hta
D:\how_to_recover_data.hta
D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\.zeppelin
D:\$recycle.bin\.zeppelin
%TEMP%\~temp001.bat
%TEMP%\07ed45f4.zeppelin
%APPDATA%\microsoft\windows\taskeng.exe
C:\$recycle.bin\.zeppelin
C:\far2\addons\colors\default_highlighting\how_to_recover_data.hta

Удаляет следующие файлы

%TEMP%\ea038df0.zeppelin
%TEMP%\07ed45f4.zeppelin

Изменяет следующие файлы

<Имя диска съемного носителя>:\delete.avi
C:\far2\farrus.lng
C:\far2\farrus.hlf
C:\far2\farpol.lng
C:\far2\farhun.lng
C:\far2\farhun.hlf
C:\far2\farger.lng
C:\far2\fareng.lng
C:\far2\fareng.hlf
C:\far2\farcze.lng
C:\far2\far.map
C:\far2\changelog_eng
C:\far2\changelog
<Имя диска съемного носителя>:\weeklysheet1215.doc
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\split.avi
C:\far2\farspa.lng
C:\far2\file_id.diz

Изменяет множество файлов.

Самоудаляется.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Другое

Создает и запускает на исполнение

'%APPDATA%\microsoft\windows\taskeng.exe' -start
'%APPDATA%\microsoft\windows\taskeng.exe' -agent 1
'%APPDATA%\microsoft\windows\taskeng.exe' -agent 0
'%APPDATA%\microsoft\windows\taskeng.exe' -agent 2
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C %TEMP%\~temp001.bat' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\notepad.exe'
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no
'%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete
'%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
'%WINDIR%\syswow64\cmd.exe' /C %TEMP%\~temp001.bat
'%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet
'%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней