Trojan.Encoder.37725

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
<Имя диска съемного носителя>:\waterresourcesag.pptx
<Имя диска съемного носителя>:\indogerman2010.pptx
<Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx
<Имя диска съемного носителя>:\asaprojectcompetition.pptx
<Имя диска съемного носителя>:\cveuropeo.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\system volume information\indexervolumeguid

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\2.jpeg
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\testee.cer
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\join.avi
%HOMEPATH%\desktop\howto-index.html
%HOMEPATH%\desktop\garden.htm
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\dashborder_96.bmp
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\dashborder_120.bmp
%HOMEPATH%\desktop\contoso.cer
%HOMEPATH%\desktop\api-hashmap.html
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\64bit_notes.htm
%HOMEPATH%\desktop\4f0bf7ff71f28.jpeg
%HOMEPATH%\desktop\3.jpeg
%HOMEPATH%\desktop\tree_view.htm
%HOMEPATH%\desktop\trivial-merge.htm

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\appdata\key.txt
%HOMEPATH%\desktop\kanti.html

Изменяет следующие файлы

<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
<Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
<Имя диска съемного носителя>:\indogerman2010.pptx
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx
<Имя диска съемного носителя>:\asaprojectcompetition.pptx
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\cveuropeo.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\waterresourcesag.pptx
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx

Изменяет множество файлов.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Ищет следующие окна

ClassName: 'OleMainThreadWndClass' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 3 && del <Полный путь к файлу>&& %HOMEPATH%\Desktop\Kanti.html && exit
'<SYSTEM32>\searchprotocolhost.exe' Global\UsGthrFltPipeMssGthrPipe3_ Global\UsGthrCtrlFltPipeMssGthrPipe3 1 -2147483646 "Software\Microsoft\Windows Search" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT; MS Search 4.0 Robot)" "%...
'<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
'<SYSTEM32>\searchfilterhost.exe' 0 768 772 780 8192 776