Trojan.Encoder.40787

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\desktop.ini

Вредоносные функции

Внедряет код в

следующие системные процессы:

<SYSTEM32>\winlogon.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\mozilla\firefox\profiles.ini
%HOMEPATH%\desktop\toolbar.bmp
%HOMEPATH%\desktop\testee.cer
%HOMEPATH%\desktop\region-north-karelia.jpeg
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\ituneshelpunavailable.htm
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\garden.htm
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\dialmap.bmp
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\contoso_1.cer
%HOMEPATH%\desktop\coffee.bmp
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\alert.html
%HOMEPATH%\desktop\alert.htm
%HOMEPATH%\desktop\advice_process.htm
%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\adadsi.html
%HOMEPATH%\desktop\about.htm
%HOMEPATH%\desktop\210252809.jpeg
%APPDATA%\thunderbird\profiles.ini
%HOMEPATH%\desktop\tree_view.htm
%HOMEPATH%\desktop\tree_view.html

Изменения в файловой системе

Создает следующие файлы

%TEMP%\zthwa4sg3lp.temp
%HOMEPATH%\e9095e4cd4be4dbb83349e4b6edf0572

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows mail\stationery\stars.jpg
%LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\scriptcache.bin
%LOCALAPPDATA%\google\chrome\application\42.0.2311.135\extensions\external_extensions.json
%LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\youtube.crx
%LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\scriptcache-current.bin
%LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\search.crx
%LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\scriptcache-child.bin
%LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\scriptcache-child-current.bin
%LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\gmail.crx
%LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\offlinecache\index.sqlite
%LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cache2\entries\bc9a334d14ae8d5cdcf1f5f5128ba1f4cdd083ac
%LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cache2\entries\2b8fb3a7c1e8990ce64886d66718692d2b2ed2bc
%LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cache2\entries\209f34aa90c795334557c6f4032e0122a69f6ecc
%LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\external_extensions.json
%LOCALAPPDATA%\microsoft\windows sidebar\settings.ini
%LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.xml
%LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.dtd
%LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\drive.crx
%LOCALAPPDATA%\microsoft\windows mail\windowsmail.pat
%LOCALAPPDATA%\microsoft\windows mail\stationery\wrinkled_paper.gif
%LOCALAPPDATA%\google\chrome\application\42.0.2311.135\default_apps\docs.crx
%LOCALAPPDATA%\microsoft\windows mail\stationery\white_chocolate.jpg
%LOCALAPPDATA%\microsoft\windows mail\stationery\to_do_list.emf
%LOCALAPPDATA%\microsoft\windows mail\stationery\tiki.gif
%LOCALAPPDATA%\microsoft\windows mail\stationery\tanspecks.jpg
%LOCALAPPDATA%\google\chrome\application\42.0.2311.135\chrome_200_percent.pak
%LOCALAPPDATA%\microsoft\windows mail\stationery\stucco.gif
%LOCALAPPDATA%\google\chrome\application\42.0.2311.135\chrome_100_percent.pak
%LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\urlcache-current.bin
%LOCALAPPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\startupcache\urlcache.bin