Trojan.Encoder.42123

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\System\CurrentControlSet\Control\SafeBoot\Minimal] '' = ''

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\sysupdatetask_1564

Модифицирует главную загрузочную запись (MBR).

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)

блокирует:

Компонент восстановления системы (SR)

удаляет теневые копии разделов.

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionProcess "v.exe"

Запускает большое число процессов

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\split.avi
%HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
%HOMEPATH%\desktop\ituneshelpunavailable.htm
%HOMEPATH%\desktop\howto-index.html
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\tree_view.html
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\coffee.bmp
%HOMEPATH%\desktop\browse.htm
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\alert.html
%HOMEPATH%\desktop\advice_process.htm
%HOMEPATH%\desktop\about.html
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\weeklysheet1215.doc

Изменения в файловой системе

Создает следующие файлы

%TEMP%\startup_sound_1564.wav
%HOMEPATH%\desktop\random_file_829620.txt
%HOMEPATH%\desktop\random_file_538497.txt
%HOMEPATH%\desktop\random_file_888228.txt
%HOMEPATH%\desktop\random_file_854240.txt
%HOMEPATH%\desktop\random_file_542878.txt
%HOMEPATH%\desktop\random_file_614551.txt
%HOMEPATH%\desktop\random_file_270060.txt
%HOMEPATH%\desktop\random_file_601607.txt
%HOMEPATH%\desktop\random_file_774632.txt
%HOMEPATH%\desktop\random_file_284292.txt
%HOMEPATH%\desktop\random_file_983149.txt
%HOMEPATH%\desktop\random_file_857786.txt
%HOMEPATH%\desktop\random_file_499866.txt
%HOMEPATH%\desktop\random_file_250882.txt
%HOMEPATH%\desktop\random_file_208807.txt
%HOMEPATH%\desktop\random_file_494142.txt
%HOMEPATH%\desktop\random_file_606647.txt
%HOMEPATH%\desktop\random_file_137845.txt
%TEMP%\sysmaint_1564.bat
%HOMEPATH%\desktop\random_file_808843.txt
%HOMEPATH%\desktop\random_file_353344.txt

Изменяет следующие файлы

%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\about.html
%HOMEPATH%\desktop\advice_process.htm
%HOMEPATH%\desktop\alert.html
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\browse.htm
%HOMEPATH%\desktop\google chrome.lnk
%HOMEPATH%\desktop\telegram.lnk

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Другое

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "SysUpdateTask_1564" /tr "%TEMP%\\sysmaint_1564.bat" /sc onstart /ru SYSTEM /RL HIGHEST /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableRegistryTools /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /t REG_DWORD /d 1 /f
'<SYSTEM32>\net1.exe' user "user" "Password123!"
'<SYSTEM32>\net.exe' user "user" "Password123!"
'<SYSTEM32>\wevtutil.exe' cl Application
'<SYSTEM32>\wevtutil.exe' cl Security
'<SYSTEM32>\wevtutil.exe' cl System
'<SYSTEM32>\powercfg.exe' /hibernate off
'<SYSTEM32>\netsh.exe' interface set interface name="Wi-Fi" admin=disable
'<SYSTEM32>\netsh.exe' interface set interface name="Ethernet" admin=disable
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore" /v DisableSR /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore" /v DisableConfig /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKLM\System\CurrentControlSet\Control\SafeBoot\Option" /v OptionValue /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' delete "HKLM\System\CurrentControlSet\Control\SafeBoot\Network" /f
'<SYSTEM32>\reg.exe' add "HKLM\System\CurrentControlSet\Control\SafeBoot\Minimal" /ve /f
'<SYSTEM32>\eventcreate.exe' /t ERROR /id 999 /l APPLICATION /so "System Error" /d "Critical system error occurred. Data corruption imminent."
'<SYSTEM32>\eventcreate.exe' /t WARNING /id 998 /l SYSTEM /so "Disk Warning" /d "Disk I/O latency high. Potential drive failure."