Trojan.Encoder.38825

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Readme' = '%LOCALAPPDATA%\Runtime Broker.exe'

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\coffee.bmp
%HOMEPATH%\desktop\contoso.cer
%HOMEPATH%\desktop\correct.avi
%HOMEPATH%\desktop\dashborder_120.bmp
%HOMEPATH%\desktop\delete.avi
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
%HOMEPATH%\desktop\split.avi
%HOMEPATH%\desktop\testee.cer
%HOMEPATH%\desktop\toolbar.bmp
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
%HOMEPATH%\desktop\weeklysheet1215.doc

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\xoypqw4lqvhcqeyuj0.p83crtfsfh6k47b3xv
%HOMEPATH%\readme.txt
%HOMEPATH%\contacts\readme.txt
%HOMEPATH%\desktop\readme.txt
C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\readme.txt
C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\readme.txt
C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\readme.txt
C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\readme.txt
C:\users\public\libraries\readme.txt
%HOMEPATH%\favorites\links\readme.txt
C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\readme.txt
C:\msocache\all users\{90140000-00a1-0409-1000-0000000ff1ce}-c\readme.txt
%HOMEPATH%\favorites\microsoft websites\readme.txt
%HOMEPATH%\favorites\msn websites\readme.txt
C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\readme.txt
C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\access.en-us\readme.txt
%HOMEPATH%\favorites\windows live\readme.txt
C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.fr\readme.txt
C:\users\public\videos\sample videos\readme.txt
C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\readme.txt
C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.es\readme.txt
C:\users\public\recorded tv\sample media\readme.txt
%ALLUSERSPROFILE%\exw4hdolov4kb12fvc.qkq4huqtmwlgaukvjw
%ALLUSERSPROFILE%\jer7xd3i1l79imqvpm.hoyfyvkqplshim0n7l
%ALLUSERSPROFILE%\608pefapaxbshrnapk.ikp6vxmroegvrfdur1
%ALLUSERSPROFILE%\rdp_shit.exe
%ALLUSERSPROFILE%\ransomeware.exe
%LOCALAPPDATA%\runtime broker.exe
C:\kms\readme.txt
C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\readme.txt
%HOMEPATH%\favorites\links for united states\readme.txt
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\readme.txt
C:\users\public\music\sample music\readme.txt
C:\users\public\pictures\sample pictures\readme.txt
C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\readme.txt
C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\readme.txt
C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\readme.txt
D:\readme.txt
C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\readme.txt
%ALLUSERSPROFILE%\e72wfcha8fxdmcageg.sgfnzzu1rdzgj1hkks
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\readme.txt
%HOMEPATH%\searches\readme.txt

Изменяет следующие файлы

C:\kms\kms_vl_all_aio_debug.log
C:\users\public\pictures\sample pictures\tulips.jpg
C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\setup.xml
C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\powerpointmui.msi
C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proofing.xml
C:\users\public\pictures\sample pictures\penguins.jpg
C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\setup.xml
C:\users\public\pictures\sample pictures\lighthouse.jpg
C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excelmui.xml
C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proofing.msi
C:\users\public\pictures\sample pictures\koala.jpg
C:\msocache\all users\{90140000-0016-0409-1000-0000000ff1ce}-c\excelmui.msi
C:\users\public\pictures\sample pictures\jellyfish.jpg
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\setup.xml
C:\users\public\pictures\sample pictures\hydrangeas.jpg
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.xml
C:\users\public\pictures\sample pictures\desert.jpg
C:\users\public\pictures\sample pictures\chrysanthemum.jpg
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.msi
C:\users\public\music\sample music\sleep away.mp3
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\pkeyconfig-office.xrm-ms
C:\users\public\music\sample music\maid with the flaxen hair.mp3
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.xml
C:\users\public\music\sample music\kalimba.mp3
C:\users\public\libraries\recordedtv.library-ms
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winre.wim
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.msi
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\boot.sdi
C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\proof.msi
C:\msocache\all users\{90140000-0018-0409-1000-0000000ff1ce}-c\powerpointmui.xml

Изменяет множество файлов.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

Подключается к

'localhost':3389

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\rdp_shit.exe'
'%ALLUSERSPROFILE%\ransomeware.exe'
'%LOCALAPPDATA%\runtime broker.exe'

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %ALLUSERSPROFILE%\XOypqw4lQvHcqEyuJ0.p83cRtFSfh6K47B3Xv
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %ALLUSERSPROFILE%\e72wfCHA8fXDMCAGEG.SgfNZZU1RDZgJ1hkKS
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %ALLUSERSPROFILE%\EXW4HdOlov4KB12fVc.Qkq4hUqtmwLGaUkvjw
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %ALLUSERSPROFILE%\JeR7Xd3i1L79ImqVPM.hOYfyVKQplshIM0n7l
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %ALLUSERSPROFILE%\608pefaPAXbShrnAPK.iKp6VXmRoEGVRFDUR1