Trojan.Encoder.42023

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

удаляет теневые копии разделов.

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\1189.jpeg
%HOMEPATH%\desktop\split.avi
%HOMEPATH%\desktop\sdksampleprivdeveloper.cer
%HOMEPATH%\desktop\pmd.cer
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\join.avi
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\dashborder_96.bmp
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\testee.cer
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\alert.html
%HOMEPATH%\desktop\advice_process.htm
%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\adadsi.html
%HOMEPATH%\desktop\about.html
%HOMEPATH%\desktop\64bit_notes.htm
%HOMEPATH%\desktop\3.jpg
%HOMEPATH%\desktop\210252809.jpeg
%HOMEPATH%\desktop\1189.jpg
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\tree_view.html

Изменения в файловой системе

Создает следующие файлы

%TEMP%\malwarehelper.dll
%HOMEPATH%\videos\desktop.ini.locked.locked
%HOMEPATH%\music\desktop.ini.locked.locked
%HOMEPATH%\pictures\desktop.ini.locked.locked
%HOMEPATH%\documents\my videos\desktop.ini.locked
%HOMEPATH%\documents\my pictures\desktop.ini.locked
%HOMEPATH%\documents\my music\desktop.ini.locked
%HOMEPATH%\documents\desktop.ini.locked
%HOMEPATH%\desktop\wrar520.exe.locked
%HOMEPATH%\desktop\utorrent.exe.locked
%HOMEPATH%\desktop\telegram.lnk.locked
%HOMEPATH%\desktop\tcm851ax32.exe.locked
%HOMEPATH%\desktop\notepad.exe.locked
%HOMEPATH%\desktop\google chrome.lnk.locked
%HOMEPATH%\desktop\dotnetfx45_full_setup.exe.locked
%HOMEPATH%\desktop\desktop.ini.locked
%HOMEPATH%\desktop\chromesetup.exe.locked
%HOMEPATH%\desktop\calc.exe.locked
%HOMEPATH%\desktop\adadsi.html.locked
%HOMEPATH%\desktop\about.html.locked
%HOMEPATH%\desktop\64bit_notes.htm.locked
%HOMEPATH%\desktop\3.jpg.locked
%HOMEPATH%\desktop\210252809.jpeg.locked
%HOMEPATH%\desktop\1189.jpg.locked
%HOMEPATH%\desktop\1189.jpeg.locked
%TEMP%\img.jpg
%HOMEPATH%\downloads\desktop.ini.locked
%HOMEPATH%\desktop\readme.txt

Изменяет следующие файлы

%TEMP%\wallpaper.bmp

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Ищет следующие окна

ClassName: 'SystemTray_Main' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Downloads" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Downloads" /r /d y
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Downloads" /r /d y (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Videos" /grant user:F /t /c
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Videos" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Videos" /r /d y
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Videos" /r /d y (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Music" /grant user:F /t /c
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Music" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Music" /r /d y
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Music" /r /d y (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Pictures" /grant user:F /t /c
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Downloads" /grant user:F /t /c
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Pictures" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Pictures" /r /d y (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Documents" /grant user:F /t /c
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Documents" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Documents" /r /d y
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Documents" /r /d y (со скрытым окном)
'<SYSTEM32>\icacls.exe' "%HOMEPATH%\Desktop" /grant user:F /t /c
'<SYSTEM32>\cmd.exe' /c icacls "%HOMEPATH%\Desktop" /grant %username%:F /t /c (со скрытым окном)
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Desktop" /r /d y
'<SYSTEM32>\cmd.exe' /c takeown /f "%HOMEPATH%\Desktop" /r /d y (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c wmic shadowcopy delete (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet (со скрытым окном)
'<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\takeown.exe' /f "%HOMEPATH%\Pictures" /r /d y
'<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\readme.txt