Trojan.Encoder.43346

Техническая информация

Вредоносные функции

Загружает и запускает на исполнение

https://i.imgur.com/rfscoes.png как %temp%\prince_wallpaper.png

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\3.jpeg
%HOMEPATH%\desktop\1189.jpg
%HOMEPATH%\desktop\2.jpeg
%HOMEPATH%\desktop\13.jpeg
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\garden.htm
%HOMEPATH%\desktop\2.jpg
%HOMEPATH%\desktop\64bit_notes.htm
%HOMEPATH%\desktop\issi2013_template_for_posters.docx
%HOMEPATH%\desktop\dashborder_96.bmp
%HOMEPATH%\desktop\about.htm
%HOMEPATH%\desktop\testcertificate.cer
%HOMEPATH%\desktop\about.html
%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\advice_process.htm
%HOMEPATH%\desktop\api-hashmap.html
%HOMEPATH%\desktop\delete.avi
%HOMEPATH%\desktop\coffee.bmp
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\pmd.cer
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\ituneshelpunavailable.htm
%HOMEPATH%\desktop\iisstart.htm
%HOMEPATH%\desktop\iisstart.html
%HOMEPATH%\desktop\region-north-karelia.jpg
%HOMEPATH%\desktop\tileimage.bmp
%HOMEPATH%\desktop\trivial-merge.html
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc

Изменения в файловой системе

Создает следующие файлы

%TEMP%\prince_logs\prince_20250924_124952.log
%HOMEPATH%\documents\decryption instructions.txt
%HOMEPATH%\documents\decryption instructions.txt.meow
%HOMEPATH%\documents\desktop.ini.meow
%HOMEPATH%\downloads\decryption instructions.txt
%HOMEPATH%\downloads\decryption instructions.txt.meow
%HOMEPATH%\downloads\desktop.ini.meow
%HOMEPATH%\videos\decryption instructions.txt
%HOMEPATH%\videos\decryption instructions.txt.meow
%HOMEPATH%\videos\desktop.ini.meow
%HOMEPATH%\pictures\decryption instructions.txt
%HOMEPATH%\pictures\camera roll\decryption instructions.txt
%HOMEPATH%\pictures\camera roll\desktop.ini.meow
%HOMEPATH%\pictures\decryption instructions.txt.meow
%HOMEPATH%\pictures\desktop.ini.meow
%HOMEPATH%\desktop\decryption instructions.txt
%HOMEPATH%\desktop\3.jpeg.meow
%HOMEPATH%\desktop\2.jpeg.meow
%HOMEPATH%\desktop\13.jpeg.meow
%HOMEPATH%\desktop\garden.htm.meow
%HOMEPATH%\desktop\64bit_notes.htm.meow
%HOMEPATH%\desktop\2.jpg.meow
%HOMEPATH%\desktop\decryption instructions.txt.meow
%HOMEPATH%\desktop\archer.avi.meow
%HOMEPATH%\desktop\1189.jpg.meow
%HOMEPATH%\desktop\google chrome.lnk.meow
%HOMEPATH%\desktop\telegram.lnk.meow
%HOMEPATH%\desktop\chromesetup.exe.meow
%HOMEPATH%\desktop\desktop.ini.meow
%HOMEPATH%\desktop\utorrent.exe.meow
%HOMEPATH%\music\decryption instructions.txt
%HOMEPATH%\music\desktop.ini.meow
%HOMEPATH%\music\decryption instructions.txt.meow
%TEMP%\prince_wallpaper.png
nul
%TEMP%\kbxg0jun\kbxg0jun.0.cs
%TEMP%\kbxg0jun\kbxg0jun.cmdline
%TEMP%\kbxg0jun\kbxg0jun.out
%TEMP%\kbxg0jun\cscd1642482d2b491ba2113447e7c3c04d.tmp
%TEMP%\res79a5.tmp
%TEMP%\kbxg0jun\kbxg0jun.dll

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_idx.db
%APPDATA%\microsoft\windows\themes\transcodedwallpaper
%APPDATA%\microsoft\windows\themes\cachedfiles\cachedimage_1152_864_pos2.jpg

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

Подключается к

'i.##gur.com':443

TCP

Другие

'i.##gur.com':443

UDP

DNS ASK i.##gur.com

Другое

Запускает на исполнение

'<SYSTEM32>\wbem\wmic.exe' computersystem get manufacturer /value
'<SYSTEM32>\tasklist.exe' /fo csv
'<SYSTEM32>\wbem\wmic.exe' computersystem get TotalPhysicalMemory /value
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -Command " try { Add-Type -TypeDefinition ' using System; using System.Runtime.InteropServices; public class Wallpaper { [DllImport(\"user32.dll\",... (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\kbxg0jun\kbxg0jun.cmdline" (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES79A5.tmp" "%TEMP%\kbxg0jun\CSCD1642482D2B491BA2113447E7C3C04D.TMP" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -Command " try { (New-Object System.Net.WebClient).DownloadFile('https://i.imgur.com/RfsCOES.png', '%TEMP%\prince_wallpaper.png') Write-Host \"Download successfu... (со скрытым окном)