Trojan.Encoder.41132

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\!!readme!!!.txt

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' stop MSSQLSERVER /f /m

Изменения в файловой системе

Создает следующие файлы

D:\$recycle.bin\s-1-5-21-3691498038-2086406363-2140527554-1000\!!readme!!!.txt
%ProgramFiles%\java\jre1.8.0_45\lib\images\cursors\!!readme!!!.txt
%ProgramFiles%\java\jre1.8.0_45\lib\fonts\!!readme!!!.txt
%ProgramFiles%\java\jre1.8.0_45\lib\ext\!!readme!!!.txt
%ProgramFiles%\java\jre1.8.0_45\lib\deploy\!!readme!!!.txt
%ProgramFiles%\java\jre1.8.0_45\lib\cmm\!!readme!!!.txt
%ProgramFiles%\java\jre1.8.0_45\lib\amd64\!!readme!!!.txt
%ProgramFiles%\java\jre1.8.0_45\lib\!!readme!!!.txt
%ProgramFiles%\java\jre1.8.0_45\!!readme!!!.txt
%ProgramFiles%\java\jre1.8.0_45\bin\server\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\word.en-us\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\publisher.en-us\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\proplus\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\proofing.en-us\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\proof.fr\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\proof.es\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\proof.en\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\powerpoint.en-us\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\outlook.en-us\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\onenote.en-us\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\office32.ww\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\office32.en-us\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\office.en-us\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\infopath.en-us\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\groove.en-us\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\excel.en-us\!!readme!!!.txt
%CommonProgramFiles%\microsoft shared\office14\office setup controller\access.en-us\!!readme!!!.txt
C:\$recycle.bin\s-1-5-21-3691498038-2086406363-2140527554-1000\!!readme!!!.txt
%ProgramFiles%\java\jre1.8.0_45\lib\jfr\!!readme!!!.txt
%ProgramFiles%\java\jre1.8.0_45\lib\management\!!readme!!!.txt

Изменяет следующие файлы

D:\$recycle.bin\s-1-5-21-3691498038-2086406363-2140527554-1000\desktop.ini
%ProgramFiles%\java\jre1.8.0_45\lib\cmm\srgb.pf
%ProgramFiles%\java\jre1.8.0_45\lib\cmm\pycc.pf
%ProgramFiles%\java\jre1.8.0_45\lib\cmm\linear_rgb.pf
%ProgramFiles%\java\jre1.8.0_45\lib\cmm\gray.pf
%ProgramFiles%\java\jre1.8.0_45\lib\cmm\ciexyz.pf
%ProgramFiles%\java\jre1.8.0_45\lib\classlist
%ProgramFiles%\java\jre1.8.0_45\lib\charsets.jar
%ProgramFiles%\java\jre1.8.0_45\lib\calendars.properties
%ProgramFiles%\java\jre1.8.0_45\lib\amd64\jvm.cfg
%ProgramFiles%\java\jre1.8.0_45\lib\accessibility.properties
%ProgramFiles%\java\jre1.8.0_45\copyright
%ProgramFiles%\java\jre1.8.0_45\bin\server\xusage.txt
<Имя диска съемного носителя>:\cveuropeo.doc
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\delete.avi
C:\$recycle.bin\s-1-5-21-3691498038-2086406363-2140527554-1000\desktop.ini
%ProgramFiles%\java\jre1.8.0_45\lib\content-types.properties
%ProgramFiles%\java\jre1.8.0_45\lib\currency.data

Изменяет множество файлов.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Другое

Запускает на исполнение

'%WINDIR%\syswow64\reg.exe' add HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services / v MaxDisconnectionTime / t REG_DWORD / d 1209600000 / f (со скрытым окном)
'%WINDIR%\syswow64\net1.exe' stop MSSQLSERVER /f /m
'%WINDIR%\syswow64\vssadmin.exe' delete shadows /all /quiet (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop MSSQLSERVER /f /m (со скрытым окном)