Trojan.Encoder.42501

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\1189.jpeg.busy
<Имя диска съемного носителя>:\000814251_video_01.avi.busy
<Имя диска съемного носителя>:\1189.jpeg
<Имя диска съемного носителя>:\13.jpeg.busy
<Имя диска съемного носителя>:\13.jpeg
<Имя диска съемного носителя>:\1sm_price.zip.busy
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\20140114.rdf.busy
<Имя диска съемного носителя>:\20140114.rdf
<Имя диска съемного носителя>:\1sm_price.zip
<Имя диска съемного носителя>:\210252809.jpg
<Имя диска съемного носителя>:\3.jpeg
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\51.mp4
<Имя диска съемного носителя>:\64bit_notes.htm
<Имя диска съемного носителя>:\babyboymaintoscenesbackground_pal.wmv
<Имя диска съемного носителя>:\cleanlyrics.png
<Имя диска съемного носителя>:\clip_480_5sec_6mbps_h264.mp4
<Имя диска съемного носителя>:\dissolveanother.png
<Имя диска съемного носителя>:\irgeek.pem
<Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
<Имя диска съемного носителя>:\military_callsigns_0311.rtf
<Имя диска съемного носителя>:\ppswamp.ppt
<Имя диска съемного носителя>:\passport_pal.wmv
<Имя диска съемного носителя>:\roozenedowebinar.pptx
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\static_electricity_easy_and_quick_activities.rtf
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\tunpersonalca1.pem
<Имя диска съемного носителя>:\waterlandhealthkano.rtf
<Имя диска съемного носителя>:\accountsreceivable.ppt
<Имя диска съемного носителя>:\advice_process.htm
<Имя диска съемного носителя>:\adadsi.html
<Имя диска съемного носителя>:\al.xlsx
<Имя диска съемного носителя>:\alert.htm
<Имя диска съемного носителя>:\alert.html
<Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
<Имя диска съемного носителя>:\api-hashmap.html
<Имя диска съемного носителя>:\applicant.xlsx
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\bc01.pdf
<Имя диска съемного носителя>:\calculatorworksheet.xls
<Имя диска съемного носителя>:\cbz.png
<Имя диска съемного носителя>:\contractualdeadlines.zip
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\dag2_panel1_320_ref.mov
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\digest.rdf
<Имя диска съемного носителя>:\dualectls.pdf
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\fiche_inscription_2015.xls
<Имя диска съемного носителя>:\fiche_inscription_2015.zip
<Имя диска съемного носителя>:\fil_20060629111052.pdf
<Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
<Имя диска съемного носителя>:\firefly1.mov
<Имя диска съемного носителя>:\flower_trans_matte.wmv
<Имя диска съемного носителя>:\foaf.rdf
<Имя диска съемного носителя>:\glidescope_review_rev_010.docx
<Имя диска съемного носителя>:\guide_reorganization_mapping.xls
<Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx
<Имя диска съемного носителя>:\holycrosschurchinstructions.docx
<Имя диска съемного носителя>:\iisstart.htm
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx
<Имя диска съемного носителя>:\iisstart.html
<Имя диска съемного носителя>:\issi2013_template_for_posters.docx
<Имя диска съемного носителя>:\middaugh_keynote.pptx
<Имя диска съемного носителя>:\national_autism_preparation_programs.xlsx
<Имя диска съемного носителя>:\nwfieldnotes1966.docx
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\pandp.rtf
<Имя диска съемного носителя>:\parnas_01.jpg
<Имя диска съемного носителя>:\phytoremediation.rtf
<Имя диска съемного носителя>:\price.zip
<Имя диска съемного носителя>:\price030215.xls
<Имя диска съемного носителя>:\price030215.zip
<Имя диска съемного носителя>:\productos.xls
<Имя диска съемного носителя>:\pushkin.jpeg
<Имя диска съемного носителя>:\region-north-karelia.jpg
<Имя диска съемного носителя>:\router_manual.rtf
<Имя диска съемного носителя>:\sacs_presentation_sacs_qep_improving_rt_education_final.ppt
<Имя диска съемного носителя>:\sdszfo.docx
<Имя диска съемного носителя>:\suspendedcompanies.xlsx
<Имя диска съемного носителя>:\testwmv.wmv
<Имя диска съемного носителя>:\how_return_your_data.txt
<Имя диска съемного носителя>:\trtf_matrix2012_oct.xlsx
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\weeklysheet1215.doc

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\1189.jpeg
%HOMEPATH%\desktop\168.jpg
%HOMEPATH%\desktop\3.jpg
%HOMEPATH%\desktop\4f0bf7ff71f28.jpeg
%HOMEPATH%\desktop\64bit_notes.htm
%HOMEPATH%\desktop\testcertificate.cer
%HOMEPATH%\desktop\about.html
%HOMEPATH%\desktop\adadsi.html
%HOMEPATH%\desktop\alert.html
%HOMEPATH%\desktop\api-hashmap.html
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\dashborder_120.bmp
%HOMEPATH%\desktop\dashborder_144.bmp
%HOMEPATH%\desktop\delete.avi
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\issi2013_template_for_posters.docx
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\pushkin.jpg
%HOMEPATH%\desktop\region-north-karelia.jpeg
%HOMEPATH%\desktop\region-north-karelia.jpg
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\weeklysheet1215.doc

Изменения в файловой системе

Создает следующие файлы

D:\how_return_your_data.txt
C:\users\default\desktop\how_return_your_data.txt
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\winre.wim.busy
C:\users\default\documents\how_return_your_data.txt
C:\users\public\desktop\how_return_your_data.txt
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\boot.sdi.busy
C:\users\public\documents\how_return_your_data.txt
C:\users\public\music\sample music\kalimba.mp3.busy
C:\users\public\music\sample music\maid with the flaxen hair.mp3.busy
C:\users\public\music\sample music\sleep away.mp3.busy
C:\users\public\recorded tv\sample media\win7_scenic-demoshort_raw.wtv.busy
%HOMEPATH%\desktop\how_return_your_data.txt
%HOMEPATH%\contacts\user.contact.busy
%HOMEPATH%\documents\how_return_your_data.txt
C:\how_return_your_data.txt

Удаляет следующие файлы

<Имя диска съемного носителя>:\1189.jpeg.busy
<Имя диска съемного носителя>:\13.jpeg.busy
<Имя диска съемного носителя>:\000814251_video_01.avi.busy
<Имя диска съемного носителя>:\20140114.rdf.busy
<Имя диска съемного носителя>:\1sm_price.zip.busy
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\boot.sdi.busy
<Имя диска съемного носителя>:\210252809.jpg.busy
<Имя диска съемного носителя>:\3.jpeg.busy
C:\users\public\music\sample music\kalimba.mp3.busy
<Имя диска съемного носителя>:\508softwareandos.doc.busy
C:\users\public\music\sample music\maid with the flaxen hair.mp3.busy
<Имя диска съемного носителя>:\51.mp4.busy
C:\users\public\music\sample music\sleep away.mp3.busy
<Имя диска съемного носителя>:\64bit_notes.htm.busy
C:\users\public\pictures\sample pictures\chrysanthemum.jpg.busy
<Имя диска съемного носителя>:\babyboymaintoscenesbackground_pal.wmv.busy
C:\users\public\pictures\sample pictures\desert.jpg.busy
<Имя диска съемного носителя>:\cleanlyrics.png.busy
C:\users\public\pictures\sample pictures\hydrangeas.jpg.busy
<Имя диска съемного носителя>:\clip_480_5sec_6mbps_h264.mp4.busy
C:\users\public\pictures\sample pictures\jellyfish.jpg.busy
<Имя диска съемного носителя>:\dissolveanother.png.busy
C:\users\public\pictures\sample pictures\koala.jpg.busy
<Имя диска съемного носителя>:\irgeek.pem.busy
C:\users\public\pictures\sample pictures\lighthouse.jpg.busy
<Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx.busy
C:\users\public\pictures\sample pictures\penguins.jpg.busy
<Имя диска съемного носителя>:\military_callsigns_0311.rtf.busy
C:\users\public\pictures\sample pictures\tulips.jpg.busy
<Имя диска съемного носителя>:\ppswamp.ppt.busy
C:\users\public\recorded tv\sample media\win7_scenic-demoshort_raw.wtv.busy
<Имя диска съемного носителя>:\passport_pal.wmv.busy
C:\users\public\videos\sample videos\wildlife.wmv.busy
<Имя диска съемного носителя>:\roozenedowebinar.pptx.busy
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\winre.wim.busy
%HOMEPATH%\contacts\user.contact.busy
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer.busy
%HOMEPATH%\desktop\1189.jpeg.busy
<Имя диска съемного носителя>:\static_electricity_easy_and_quick_activities.rtf.busy
%HOMEPATH%\desktop\168.jpg.busy
<Имя диска съемного носителя>:\testcertificate.cer.busy
<Имя диска съемного носителя>:\tunpersonalca1.pem.busy
%HOMEPATH%\desktop\3.jpg.busy
%HOMEPATH%\desktop\4f0bf7ff71f28.jpeg.busy
<Имя диска съемного носителя>:\waterlandhealthkano.rtf.busy
%HOMEPATH%\desktop\64bit_notes.htm.busy
%HOMEPATH%\desktop\testcertificate.cer.busy
<Имя диска съемного носителя>:\accountsreceivable.ppt.busy
<Имя диска съемного носителя>:\advice_process.htm.busy
<Имя диска съемного носителя>:\adadsi.html.busy
%HOMEPATH%\desktop\about.html.busy
%HOMEPATH%\desktop\adadsi.html.busy
<Имя диска съемного носителя>:\al.xlsx.busy
<Имя диска съемного носителя>:\alert.htm.busy
%HOMEPATH%\desktop\alert.html.busy
<Имя диска съемного носителя>:\alert.html.busy
%HOMEPATH%\desktop\api-hashmap.html.busy
%HOMEPATH%\desktop\archer.avi.busy
<Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx.busy
<Имя диска съемного носителя>:\api-hashmap.html.busy
%HOMEPATH%\desktop\cveuropeo.doc.busy
<Имя диска съемного носителя>:\applicant.xlsx.busy
%HOMEPATH%\desktop\dashborder_120.bmp.busy
%HOMEPATH%\desktop\dashborder_144.bmp.busy
<Имя диска съемного носителя>:\archer.avi.busy
<Имя диска съемного носителя>:\bc01.pdf.busy
%HOMEPATH%\desktop\delete.avi.busy
<Имя диска съемного носителя>:\calculatorworksheet.xls.busy
%HOMEPATH%\desktop\dial.bmp.busy
<Имя диска съемного носителя>:\cbz.png.busy
<Имя диска съемного носителя>:\contractualdeadlines.zip.busy
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx.busy
<Имя диска съемного носителя>:\correct.avi.busy
%HOMEPATH%\desktop\holycrosschurchinstructions.docx.busy
%HOMEPATH%\desktop\issi2013_template_for_posters.docx.busy
<Имя диска съемного носителя>:\dag2_panel1_320_ref.mov.busy
%HOMEPATH%\desktop\lisp_success.doc.busy
<Имя диска съемного носителя>:\dashborder_120.bmp.busy
<Имя диска съемного носителя>:\dashborder_144.bmp.busy
%HOMEPATH%\desktop\nwfieldnotes1966.docx.busy
%HOMEPATH%\desktop\pushkin.jpg.busy
<Имя диска съемного носителя>:\dashborder_96.bmp.busy
%HOMEPATH%\desktop\region-north-karelia.jpeg.busy
<Имя диска съемного носителя>:\digest.rdf.busy
%HOMEPATH%\desktop\region-north-karelia.jpg.busy
<Имя диска съемного носителя>:\dualectls.pdf.busy
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx.busy
<Имя диска съемного носителя>:\fi51.doc.busy
%HOMEPATH%\desktop\weeklysheet1215.doc.busy
<Имя диска съемного носителя>:\fiche_inscription_2015.xls.busy
<Имя диска съемного носителя>:\fiche_inscription_2015.zip.busy
<Имя диска съемного носителя>:\fil_20060629111052.pdf.busy
<Имя диска съемного носителя>:\file_p_00000000_1371597592.docx.busy
<Имя диска съемного носителя>:\firefly1.mov.busy
<Имя диска съемного носителя>:\flower_trans_matte.wmv.busy
<Имя диска съемного носителя>:\foaf.rdf.busy
<Имя диска съемного носителя>:\glidescope_review_rev_010.docx.busy
<Имя диска съемного носителя>:\guide_reorganization_mapping.xls.busy
<Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx.busy
<Имя диска съемного носителя>:\holycrosschurchinstructions.docx.busy
<Имя диска съемного носителя>:\iisstart.htm.busy
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx.busy
<Имя диска съемного носителя>:\iisstart.html.busy
<Имя диска съемного носителя>:\issi2013_template_for_posters.docx.busy
<Имя диска съемного носителя>:\middaugh_keynote.pptx.busy
<Имя диска съемного носителя>:\national_autism_preparation_programs.xlsx.busy
<Имя диска съемного носителя>:\nwfieldnotes1966.docx.busy
<Имя диска съемного носителя>:\ovp25012015.doc.busy
<Имя диска съемного носителя>:\pandp.rtf.busy
<Имя диска съемного носителя>:\parnas_01.jpg.busy
<Имя диска съемного носителя>:\phytoremediation.rtf.busy
<Имя диска съемного носителя>:\price.zip.busy
<Имя диска съемного носителя>:\price030215.xls.busy
<Имя диска съемного носителя>:\price030215.zip.busy
<Имя диска съемного носителя>:\productos.xls.busy
<Имя диска съемного носителя>:\pushkin.jpeg.busy
<Имя диска съемного носителя>:\region-north-karelia.jpg.busy
<Имя диска съемного носителя>:\router_manual.rtf.busy
<Имя диска съемного носителя>:\sacs_presentation_sacs_qep_improving_rt_education_final.ppt.busy
<Имя диска съемного носителя>:\sdszfo.docx.busy
<Имя диска съемного носителя>:\suspendedcompanies.xlsx.busy
<Имя диска съемного носителя>:\testwmv.wmv.busy
<Имя диска съемного носителя>:\trtf_matrix2012_oct.xlsx.busy
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.busy
<Имя диска съемного носителя>:\weeklysheet1215.doc.busy

Изменяет следующие файлы

<Имя диска съемного носителя>:\1189.jpeg
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\13.jpeg
<Имя диска съемного носителя>:\20140114.rdf
<Имя диска съемного носителя>:\1sm_price.zip
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\winre.wim
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\boot.sdi
C:\users\public\music\sample music\kalimba.mp3
C:\users\public\music\sample music\maid with the flaxen hair.mp3
C:\users\public\music\sample music\sleep away.mp3
C:\users\public\recorded tv\sample media\win7_scenic-demoshort_raw.wtv
%HOMEPATH%\contacts\user.contact

Самоудаляется.

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Другое

Запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$f='<Полный путь к файлу>';while(Test-Path -Path $f){$o=new-object byte[] 10485760;(new-object Random).NextBytes($o);[IO.File]::WriteAllBytes($f,$o);Remove-Item -Path $f;Sleep 1;}"

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней