Trojan.Encoder.38874

Техническая информация

Для обеспечения автозапуска и распространения

Заражает следующие исполняемые файлы

C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\setup.dll
C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\setup.exe
C:\msocache\all users\{90160000-0115-0409-0000-0000000ff1ce}-c\osetupui.dll
%ALLUSERSPROFILE%\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\setup.exe
%ALLUSERSPROFILE%\oracle\java\javapath\java.exe
%ALLUSERSPROFILE%\oracle\java\javapath\javaw.exe
%ALLUSERSPROFILE%\oracle\java\javapath\javaws.exe
%ALLUSERSPROFILE%\package cache\{050d4fc8-5d48-4b8f-8972-47c82c46020f}\vcredist_x64.exe
%ALLUSERSPROFILE%\package cache\{295d1583-fdb9-414b-a4c8-da539362a26b}\vc_redist.x64.exe
%ALLUSERSPROFILE%\package cache\{33d1fd90-4274-48a1-9bc1-97e33d9c2d6f}\vcredist_x86.exe
%ALLUSERSPROFILE%\package cache\{38b2c744-ad08-4d5b-91a2-3fb6f739ff3e}\vc_redist.x86.exe
%ALLUSERSPROFILE%\package cache\{ca67548a-5ebe-413a-b50c-4b9ceb6d66c6}\vcredist_x64.exe
%ALLUSERSPROFILE%\package cache\{f65db027-aff3-4070-886a-0d87064aabb1}\vcredist_x86.exe

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\desktop\ransomcrypto\key.bin

Изменяет следующие файлы

C:\kms\kms_vl_all_aio.cmd
C:\msocache\all users\{90160000-001a-0409-0000-0000000ff1ce}-c\outlookmui.xml
C:\msocache\all users\{90160000-001a-0409-0000-0000000ff1ce}-c\outlookmui.msi
C:\msocache\all users\{90160000-001a-0409-0000-0000000ff1ce}-c\outlklr.cab
C:\msocache\all users\{90160000-0019-0409-0000-0000000ff1ce}-c\setup.xml
C:\msocache\all users\{90160000-0019-0409-0000-0000000ff1ce}-c\publr.cab
C:\msocache\all users\{90160000-0019-0409-0000-0000000ff1ce}-c\publishermui.xml
C:\msocache\all users\{90160000-0019-0409-0000-0000000ff1ce}-c\publishermui.msi
C:\msocache\all users\{90160000-0018-0409-0000-0000000ff1ce}-c\setup.xml
C:\msocache\all users\{90160000-0018-0409-0000-0000000ff1ce}-c\pptlr.cab
C:\msocache\all users\{90160000-0018-0409-0000-0000000ff1ce}-c\powerpointmui.xml
C:\msocache\all users\{90160000-0018-0409-0000-0000000ff1ce}-c\powerpointmui.msi
C:\msocache\all users\{90160000-0016-0409-0000-0000000ff1ce}-c\setup.xml
C:\msocache\all users\{90160000-0016-0409-0000-0000000ff1ce}-c\excelmui.xml
C:\msocache\all users\{90160000-0016-0409-0000-0000000ff1ce}-c\excelmui.msi
C:\msocache\all users\{90160000-0016-0409-0000-0000000ff1ce}-c\excellr.cab
C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\setup.xml
C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\propsww2.cab
C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\propsww.cab
C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\proplusww.xml
C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\proplusww.msi
C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\pkeyconfig-office.xrm-ms
C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\owow64ww.cab
C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\office64ww.xml
C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\office64ww.msi
C:\kms\kms_vl_all_aio_debug.log
C:\msocache\all users\{90160000-001a-0409-0000-0000000ff1ce}-c\setup.xml
C:\msocache\all users\{90160000-001b-0409-0000-0000000ff1ce}-c\setup.xml