Trojan.Encoder.37952

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'sysload' = '%WINDIR%\sysnus.exe'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'sysload' = '%WINDIR%\sysnus.exe'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'sysserver' = '<SYSTEM32>\regsrv32.exe'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'sysserver' = '<SYSTEM32>\regsrv32.exe'
[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, <SYSTEM32>\ptrbgwn.scr'
[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, <SYSTEM32>\regsrv32.exe'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\210252809.jpeg.exe
<Имя диска съемного носителя>:\13.jpeg.exe
<Имя диска съемного носителя>:\4f0bf7ff71f28.jpeg.exe
<Имя диска съемного носителя>:\parnas_01.jpeg.exe
<Имя диска съемного носителя>:\pushkin.jpeg.exe
<Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx.exe
<Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx.exe
<Имя диска съемного носителя>:\file_p_00000000_1371597592.docx.exe
<Имя диска съемного носителя>:\sdszfo.docx.exe
<Имя диска съемного носителя>:\holycrosschurchinstructions.docx.exe
<Имя диска съемного носителя>:\2.jpeg.exe
<Имя диска съемного носителя>:\glidescope_review_rev_010.docx.exe
<Имя диска съемного носителя>:\cveuropeo.doc.exe
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.exe
<Имя диска съемного носителя>:\applicantform_en.doc.exe
<Имя диска съемного носителя>:\fi51.doc.exe
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.exe
<Имя диска съемного носителя>:\lisp_success.doc.exe
<Имя диска съемного носителя>:\coffee.bmp.exe
<Имя диска съемного носителя>:\dashborder_144.bmp.exe
<Имя диска съемного носителя>:\default.bmp.exe
<Имя диска съемного носителя>:\dialmap.bmp.exe
<Имя диска съемного носителя>:\february_catalogue__2015.doc.exe
<Имя диска съемного носителя>:\sysnus.exe

Изменения в файловой системе

Создает следующие файлы

D:\autorun.inf
C:\pesan sysnuser.txt
%WINDIR%\sysinfo.dll
%WINDIR%\sysnus.exe
%WINDIR%\syswow64\regsrv32.exe
%WINDIR%\syswow64\ptrbgwn.scr
D:\sysnus.exe

Присваивает атрибут 'скрытый' для следующих файлов

D:\autorun.inf
<Имя диска съемного носителя>:\autorun.inf
%WINDIR%\sysinfo.dll
%WINDIR%\syswow64\regsrv32.exe
D:\sysnus.exe
<Имя диска съемного носителя>:\sysnus.exe

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Ищет следующие окна

ClassName: '#32770' WindowName: 'Run'
ClassName: 'MozillaUIWindowClass' WindowName: 'AVG Anti-Virus and Internet Security - Welcome - Windows Internet Explorer'
ClassName: 'TabWindowClass' WindowName: 'RapidShare: 1-Click Webhosting - Windows Internet Explorer'
ClassName: 'MozillaUIWindowClass' WindowName: 'RapidShare: 1-Click Webhosting - Mozilla Firefox'
ClassName: 'MozillaUIWindowClass' WindowName: '.: PC Media - Panduan Teknologi Penuh Inspirasi :. - Mozilla Firefox'
ClassName: 'MozillaUIWindowClass' WindowName: 'AVG Anti-Virus and Internet Security - Welcome - Mozilla Firefox'
ClassName: 'MozillaUIWindowClass' WindowName: 'Mozilla Firefox'
ClassName: 'WordPadClass' WindowName: 'Document - WordPad'
ClassName: 'HoneyKissMe' WindowName: 'ANSAV +E Advanced - [ PORTABLE ]'
ClassName: 'Notepad' WindowName: 'Untitled - Notepad'
ClassName: 'MozillaUIWindowClass' WindowName: '.: PC Media - Panduan Teknologi Penuh Inspirasi :. - Windows Internet Explorer'
ClassName: 'CabinetWClass' WindowName: 'Search Results'
ClassName: 'TfrmSM4Main' WindowName: 'System MechanicВ®'
ClassName: 'RegEdit_RegEdit' WindowName: 'Registry Editor'
ClassName: 'ConsoleWindowClass' WindowName: 'C:\Winxp\System32\cmd.exe'
ClassName: 'ConsoleWindowClass' WindowName: '<SYSTEM32>\cmd.exe'
ClassName: '#32770' WindowName: 'Nero StartSmart'
ClassName: '#32770' WindowName: 'Folder Options'
ClassName: '#32770' WindowName: 'System Configuration Utility'
ClassName: '#32770' WindowName: 'Services'
ClassName: '#32770' WindowName: 'Windows Task Manager'
ClassName: 'PCHShell Window' WindowName: 'System Restore'
ClassName: 'TFAdvMenu' WindowName: 'PCMAV Advanced Options'