Trojan.Encoder.39055

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\Dnscache] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\FDResPub] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\SSDPSRV] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\upnphost] 'Start' = '00000002'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /IM RaccineSettings.exe
'%WINDIR%\syswow64\taskkill.exe' /IM outlook.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM dbeng50.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM dbsnmp.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM excel.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mbamtray.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM tmlisten.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM thebat64.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM xfssvccon.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM CNTAoSMgr.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mysqld-nt.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM sqlbrowser.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM zoolz.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM wordpad.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mysqld-opt.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM ocautoupds.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM winword.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM ocssd.exe /F
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule group=\"File and Printer Sharing\" new enable=Yes
'%WINDIR%\syswow64\taskkill.exe' /IM oracle.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM sqlagent.exe /F
'%WINDIR%\syswow64\taskkill.exe' IM thunderbird.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM visio.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM powerpnt.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM firefoxconfig.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mspub.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM synctime.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mydesktopqos.exe /F
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule group=\"Network Discovery\" new enable=Yes
'%WINDIR%\syswow64\taskkill.exe' /IM Ntrtscan.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mydesktopservice.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM sqbcoreservice.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM agntsvc.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM isqlplussvc.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM mysqld.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM tbirdconfig.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM onenote.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM thebat.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM PccNTMon.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM steam.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM sqlwriter.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM msftesql.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM msaccess.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM ocomm.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM encsvc.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM infopath.exe /F
'%WINDIR%\syswow64\taskkill.exe' /IM sqlservr.exe /F

Изменения в файловой системе

Создает следующие файлы

%TEMP%\go-memexec-307802647.exe
unc\waghlo*\mailslot\net\netlogon

Подменяет следующие файлы

%ALLUSERSPROFILE%\Microsoft\Windows\Caches\cversions.2.db
%ALLUSERSPROFILE%\Microsoft\Windows\Caches\{0C3336A4-5EF7-463B-ACCA-2CB87C52F88C}.2.ver0x0000000000000001.db
%ALLUSERSPROFILE%\Microsoft\Windows\Caches\{40FC8D7D-05ED-4FEB-B03B-6C100659EF5C}.2.ver0x0000000000000001.db
%ALLUSERSPROFILE%\Microsoft\Windows\Caches\{6AF0698E-D558-4F6E-9B3C-3716689AF493}.2.ver0x000000000000000b.db
%ALLUSERSPROFILE%\Microsoft\Windows\Caches\{DDF571F2-BE98-426D-8288-1A9A39C3FDA2}.2.ver0x0000000000000002.db

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

UDP

'localhost':49246
'localhost':55812

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\go-memexec-307802647.exe'

Запускает на исполнение

'%WINDIR%\syswow64\reg.exe' delete "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Raccine Tray" /F
'%WINDIR%\syswow64\reg.exe' delete HKCU\Software\Raccine /F
'%WINDIR%\syswow64\schtasks.exe' /DELETE /TN "Raccine Rules Updater" /F
'%WINDIR%\syswow64\sc.exe' config Dnscache start= auto
'%WINDIR%\syswow64\sc.exe' config SQLTELEMETRY start= disabled
'%WINDIR%\syswow64\sc.exe' config FDResPub start= auto
'%WINDIR%\syswow64\sc.exe' config SQLTELEMETRY$ECWDB2 start= disabled
'%WINDIR%\syswow64\sc.exe' config SSDPSRV start= auto
'%WINDIR%\syswow64\sc.exe' config SstpSvc start= disabled
'%WINDIR%\syswow64\sc.exe' config SQLWriter start= disabled
'%WINDIR%\syswow64\sc.exe' config upnphost start= auto
'%WINDIR%\syswow64\arp.exe' -a
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' & Get-WmiObject Win32_Shadowcopy | ForEach-Object { $_Delete(); }
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q %SYSTEMDRIVE%\\$Recycle.bin