Trojan.Encoder.38938

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\asaprojectcompetition.pptx
<Имя диска съемного носителя>:\system volume information\wpsettings.dat.lock
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx
<Имя диска съемного носителя>:\middaugh_keynote.pptx
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im sql.exe
'<SYSTEM32>\taskkill.exe' /f /im dbeng5U.exe
'<SYSTEM32>\taskkill.exe' /f /im sqbcoreservice.exe
'<SYSTEM32>\taskkill.exe' /f /im excel.exe
'<SYSTEM32>\taskkill.exe' /f /im infopath.exe
'<SYSTEM32>\taskkill.exe' /f /im msaccess.exe
'<SYSTEM32>\taskkill.exe' /f /im mspub.exe
'<SYSTEM32>\taskkill.exe' /f /im onenote.exe
'<SYSTEM32>\taskkill.exe' /f /im encsvc.exe
'<SYSTEM32>\taskkill.exe' /f /im outlook.exe
'<SYSTEM32>\taskkill.exe' /f /im steam.exe
'<SYSTEM32>\taskkill.exe' /f /im thebat.exe
'<SYSTEM32>\taskkill.exe' /f /im thunderbird.exe
'<SYSTEM32>\taskkill.exe' /f /im visio.exe
'<SYSTEM32>\taskkill.exe' /f /im winword.exe
'<SYSTEM32>\taskkill.exe' /f /im wordpad.exe
'<SYSTEM32>\taskkill.exe' /f /im notepad.exe
'<SYSTEM32>\taskkill.exe' /f /im mydesktopqos.exe
'<SYSTEM32>\taskkill.exe' /f /im ocomm.exe
'<SYSTEM32>\taskkill.exe' /f /im tbirdconfig.exe
'<SYSTEM32>\taskkill.exe' /f /im whatsapp.exe
'<SYSTEM32>\taskkill.exe' /f /im telegram.exe
'<SYSTEM32>\taskkill.exe' /f /im ocssd.exe
'<SYSTEM32>\taskkill.exe' /f /im dbsnmp.exe
'<SYSTEM32>\taskkill.exe' /f /im synctime.exe
'<SYSTEM32>\taskkill.exe' /f /im agntsvc.exe
'<SYSTEM32>\taskkill.exe' /f /im isqlplussvc.exe
'<SYSTEM32>\taskkill.exe' /f /im xfssvccon.exe
'<SYSTEM32>\taskkill.exe' /f /im mydesktopservice.exe
'<SYSTEM32>\taskkill.exe' /f /im rmngr.exe
'<SYSTEM32>\taskkill.exe' /f /im powerpnt.exe
'<SYSTEM32>\taskkill.exe' /f /im ocautoupds.exe
'<SYSTEM32>\taskkill.exe' /f /im msedge.exe
'<SYSTEM32>\taskkill.exe' /f /im chrome.exe
'<SYSTEM32>\taskkill.exe' /f /im yandex.exe
'<SYSTEM32>\taskkill.exe' /f /im bitrix24.exe
'<SYSTEM32>\taskkill.exe' /f /im 1cv8.exe
'<SYSTEM32>\taskkill.exe' /f /im 1cv7.exe
'<SYSTEM32>\taskkill.exe' /f /im viber.exe
'<SYSTEM32>\taskkill.exe' /f /im oracle.exe
'<SYSTEM32>\taskkill.exe' /f /im firefox.exe
'<SYSTEM32>\taskkill.exe' /f /im rphost.exe

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

C:\documents and settings\восстановить файлы.txt
%HOMEPATH%\sendto\восстановить файлы.txt
%HOMEPATH%\recent\восстановить файлы.txt
%HOMEPATH%\printhood\восстановить файлы.txt
%HOMEPATH%\nethood\восстановить файлы.txt
%HOMEPATH%\my documents\восстановить файлы.txt
%HOMEPATH%\local settings\восстановить файлы.txt
%HOMEPATH%\documents\my videos\восстановить файлы.txt
%HOMEPATH%\documents\my music\восстановить файлы.txt
%HOMEPATH%\cookies\восстановить файлы.txt
%HOMEPATH%\application data\восстановить файлы.txt
C:\users\public\documents\my videos\восстановить файлы.txt
C:\users\public\documents\my pictures\восстановить файлы.txt
C:\users\public\documents\my music\восстановить файлы.txt
%HOMEPATH%\start menu\восстановить файлы.txt
C:\users\default user\восстановить файлы.txt
C:\users\default\start menu\восстановить файлы.txt
C:\users\default\sendto\восстановить файлы.txt
C:\users\default\recent\восстановить файлы.txt
C:\users\default\printhood\восстановить файлы.txt
C:\users\default\nethood\восстановить файлы.txt
C:\users\default\my documents\восстановить файлы.txt
C:\users\default\local settings\восстановить файлы.txt
C:\users\default\documents\my videos\восстановить файлы.txt
C:\users\default\documents\my pictures\восстановить файлы.txt
C:\users\default\documents\my music\восстановить файлы.txt
C:\users\default\cookies\восстановить файлы.txt
C:\users\default\application data\восстановить файлы.txt
%ALLUSERSPROFILE%\восстановить файлы.txt
C:\users\default\templates\восстановить файлы.txt
%HOMEPATH%\templates\восстановить файлы.txt

Изменяет следующие файлы

C:\users\public\desktop\acrobat reader dc.lnk.lock
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx.lock
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx.lock
%LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_idx.db
<Имя диска съемного носителя>:\asaprojectcompetition.pptx.lock
D:\install.log.lock
C:\kms\kms_vl_all_aio_debug.log.lock
C:\kms\kms_vl_all_aio.cmd.lock
%HOMEPATH%\searches\winrt--{s-1-5-21-2377844457-1847597103-2569463324-1000}-.searchconnector-ms.lock
%HOMEPATH%\links\desktop.lnk.lock
%HOMEPATH%\links\downloads.lnk.lock
%HOMEPATH%\favorites\bing.url.lock
%HOMEPATH%\desktop\cveuropeo.doc.lock
%HOMEPATH%\desktop\contoso.cer.lock
%HOMEPATH%\desktop\archer.avi.lock
%HOMEPATH%\desktop\testcertificate.cer.lock
%HOMEPATH%\desktop\508softwareandos.doc.lock
%HOMEPATH%\desktop\microsoft edge.lnk.lock
%HOMEPATH%\desktop\telegram.lnk.lock
%HOMEPATH%\desktop\sdksampleunprivdeveloper.cer.lock
%HOMEPATH%\.oracle_jre_usage\90737d32e3aba6b.timestamp.lock
C:\users\public\libraries\recordedtv.library-ms.lock
C:\users\public\desktop\steam.lnk.lock
C:\users\public\desktop\firefox.lnk.lock
<Имя диска съемного носителя>:\middaugh_keynote.pptx.lock
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx.lock