Trojan.Encoder.42024

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

удаляет теневые копии разделов.

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\168.jpg
%HOMEPATH%\desktop\tree_view.html
%HOMEPATH%\desktop\tileimage.bmp
%HOMEPATH%\desktop\testcertificate.cer
%HOMEPATH%\desktop\sdszfo.docx
%HOMEPATH%\desktop\pushkin.jpg
%HOMEPATH%\desktop\ituneshelpunavailable.htm
%HOMEPATH%\desktop\issi2013_template_for_posters.docx
%HOMEPATH%\desktop\iisstart.htm
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
%HOMEPATH%\desktop\garden.htm
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\delete.avi
%HOMEPATH%\desktop\dashborder_96.bmp
%HOMEPATH%\desktop\contoso_1.cer
%HOMEPATH%\desktop\contoso.cer
%HOMEPATH%\desktop\coffee.bmp
%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\about.htm
%HOMEPATH%\desktop\2.jpg
%HOMEPATH%\desktop\trivial-merge.htm
%HOMEPATH%\desktop\weeklysheet1215.doc

Изменения в файловой системе

Создает следующие файлы

%TEMP%\malwarehelper.dll
%HOMEPATH%\videos\desktop.ini.locked.locked
%HOMEPATH%\music\desktop.ini.locked.locked
%HOMEPATH%\pictures\desktop.ini.locked.locked
%HOMEPATH%\documents\my videos\desktop.ini.locked
%HOMEPATH%\documents\my pictures\desktop.ini.locked
%HOMEPATH%\documents\my music\desktop.ini.locked
%HOMEPATH%\documents\desktop.ini.locked
%HOMEPATH%\downloads\desktop.ini.locked
%HOMEPATH%\desktop\telegram.lnk.locked
%HOMEPATH%\desktop\desktop.ini.locked
%HOMEPATH%\desktop\coffee.bmp.locked
%HOMEPATH%\desktop\adhd_and_obesity.docx.locked
%HOMEPATH%\desktop\about.htm.locked
%HOMEPATH%\desktop\2.jpg.locked
%HOMEPATH%\desktop\168.jpg.locked
%TEMP%\img.jpg
%HOMEPATH%\desktop\google chrome.lnk.locked
%HOMEPATH%\desktop\readme.txt

Изменяет следующие файлы

%TEMP%\wallpaper.bmp

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Ищет следующие окна

ClassName: 'SystemTray_Main' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Downloads" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Downloads" /r /d y
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Downloads" /r /d y (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Videos" /grant user:F /t /c
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Videos" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Videos" /r /d y
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Videos" /r /d y (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Music" /grant user:F /t /c
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Music" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Music" /r /d y
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Music" /r /d y (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Pictures" /grant user:F /t /c
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Downloads" /grant user:F /t /c
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Pictures" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Pictures" /r /d y (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Documents" /grant user:F /t /c
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Documents" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Documents" /r /d y
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Documents" /r /d y (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Desktop" /grant user:F /t /c
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Desktop" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Desktop" /r /d y
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Desktop" /r /d y (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c wmic shadowcopy delete (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet (со скрытым окном)
'<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Pictures" /r /d y
'<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\readme.txt