Trojan.Encoder.38217

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Skype' = '<Полный путь к файлу>'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\instructions_read_me.txt
<Имя диска съемного носителя>:\roozenedowebinar.pptx
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx
<Имя диска съемного носителя>:\chromesetup.exe
<Имя диска съемного носителя>:\wrar520.exe
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe
<Имя диска съемного носителя>:\utorrent.exe
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\skypesetup.exe
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
<Имя диска съемного носителя>:\indogerman2010.pptx

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Изменения в файловой системе

Создает следующие файлы

%TEMP%\fkdjsadasd.ico

Перемещает следующие файлы

%ProgramFiles%\mozilla firefox\accessible.tlb в %ProgramFiles%\mozilla firefox\accessible.tlb.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-private-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-private-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-stdio-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-stdio-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-multibyte-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-multibyte-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-process-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-process-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-locale-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-locale-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-math-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-math-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-filesystem-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-filesystem-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-environment-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-environment-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-heap-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-heap-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-conio-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-conio-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-convert-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-convert-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-core-timezone-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-core-timezone-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\accessiblehandler.dll в %ProgramFiles%\mozilla firefox\accessiblehandler.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-core-synch-l1-2-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-core-synch-l1-2-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-core-processthreads-l1-1-1.dll в %ProgramFiles%\mozilla firefox\api-ms-win-core-processthreads-l1-1-1.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-core-file-l2-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-core-file-l2-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-core-localization-l1-2-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-core-localization-l1-2-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-core-file-l1-2-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-core-file-l1-2-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\accessiblemarshal.dll в %ProgramFiles%\mozilla firefox\accessiblemarshal.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-runtime-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-runtime-l1-1-0.dll.5p3044ynb
%ProgramFiles%\mozilla firefox\api-ms-win-crt-time-l1-1-0.dll в %ProgramFiles%\mozilla firefox\api-ms-win-crt-time-l1-1-0.dll.5p3044ynb

Изменяет следующие файлы

<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\pmd.cer

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysNative\vssadmin.exe delete shadows /all /quiet
'<SYSTEM32>\searchprotocolhost.exe' Global\UsGthrFltPipeMssGthrPipe3_ Global\UsGthrCtrlFltPipeMssGthrPipe3 1 -2147483646 "Software\Microsoft\Windows Search" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT; MS Search 4.0 Robot)" "%...