Trojan.Encoder.38977

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Skype' = '<Полный путь к файлу>'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\instructions_read_me.txt
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx
<Имя диска съемного носителя>:\tcm851ax32.exe
<Имя диска съемного носителя>:\utorrent.exe
<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe
<Имя диска съемного носителя>:\notepad.exe
<Имя диска съемного носителя>:\chromesetup.exe
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\roozenedowebinar.pptx
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\favorites\instructions_read_me.txt
%LOCALAPPDATA%low\microsoft\internet explorer\services\instructions_read_me.txt
%LOCALAPPDATA%low\sun\java\instructions_read_me.txt
%LOCALAPPDATA%low\oracle\java\instructions_read_me.txt
%LOCALAPPDATA%low\mozilla\temp-{3571406e-c08c-4c74-b145-8857b365f6e7}\instructions_read_me.txt
%LOCALAPPDATA%low\mozilla\temp-{1fae114c-c2b0-4da1-b23a-8e5ad0c3d722}\instructions_read_me.txt
%LOCALAPPDATA%low\mozilla\temp-{070abd97-84e1-4f5f-9c02-f1d76dd9fce4}\instructions_read_me.txt
%LOCALAPPDATA%low\microsoft\internet explorer\instructions_read_me.txt
%TEMP%\low\instructions_read_me.txt
%LOCALAPPDATA%low\oracle\java\au\instructions_read_me.txt
%LOCALAPPDATA%low\sun\instructions_read_me.txt
%LOCALAPPDATA%low\mozilla\instructions_read_me.txt
%LOCALAPPDATA%low\microsoft\instructions_read_me.txt
%HOMEPATH%\favorites\windows live\instructions_read_me.txt
%HOMEPATH%\favorites\msn websites\instructions_read_me.txt
%HOMEPATH%\favorites\microsoft websites\instructions_read_me.txt
%HOMEPATH%\favorites\links for united states\instructions_read_me.txt
%HOMEPATH%\favorites\links\instructions_read_me.txt
%LOCALAPPDATA%low\instructions_read_me.txt
%LOCALAPPDATA%low\oracle\instructions_read_me.txt
%LOCALAPPDATA%low\sun\java\jre1.8.0_45_x64\instructions_read_me.txt

Изменяет следующие файлы

<Имя диска съемного носителя>:\000814251_video_01.avi
%HOMEPATH%\favorites\links for united states\usa.gov.url
%HOMEPATH%\favorites\microsoft websites\ie add-on site.url
%HOMEPATH%\favorites\links for united states\gobiernousa.gov.url
%HOMEPATH%\favorites\links\web slice gallery.url
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx
<Имя диска съемного носителя>:\roozenedowebinar.pptx
<Имя диска съемного носителя>:\cveuropeo.doc
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc
%HOMEPATH%\favorites\microsoft websites\ie site on microsoft.com.url
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\fi51.doc
%HOMEPATH%\favorites\microsoft websites\microsoft store.url

Изменяет множество файлов.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysNative\vssadmin.exe delete shadows /all /quiet
'%WINDIR%\syswow64\cmd.exe' /c start /MAX notepad.exe c:\instructions_read_me.txt
'%WINDIR%\syswow64\notepad.exe' c:\instructions_read_me.txt