Trojan.Encoder.44160

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\delete.avi.tmp
<Имя диска съемного носителя>:\correct.avi.tmp
<Имя диска съемного носителя>:\split.avi.tmp
<Имя диска съемного носителя>:\archer.avi.tmp
<Имя диска съемного носителя>:\000814251_video_01.avi.tmp
<Имя диска съемного носителя>:\default.bmp.tmp
<Имя диска съемного носителя>:\dashborder_192.bmp.tmp
<Имя диска съемного носителя>:\dial.bmp.tmp
<Имя диска съемного носителя>:\tileimage.bmp.tmp
<Имя диска съемного носителя>:\contoso.cer.tmp
<Имя диска съемного носителя>:\contoso_1.cer.tmp
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.tmp

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

<SYSTEM32>\windowspowershell\v1.0\debug.log
%TEMP%\config.bmp

Удаляет файлы, которые сам же создал

<Имя диска съемного носителя>:\delete.avi.tmp
<Имя диска съемного носителя>:\correct.avi.tmp
<Имя диска съемного носителя>:\split.avi.tmp
<Имя диска съемного носителя>:\archer.avi.tmp
<Имя диска съемного носителя>:\000814251_video_01.avi.tmp
<Имя диска съемного носителя>:\default.bmp.tmp
<Имя диска съемного носителя>:\dashborder_192.bmp.tmp
<Имя диска съемного носителя>:\dial.bmp.tmp
<Имя диска съемного носителя>:\tileimage.bmp.tmp
<Имя диска съемного носителя>:\contoso.cer.tmp
<Имя диска съемного носителя>:\contoso_1.cer.tmp
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.tmp
<Имя диска съемного носителя>:\applicantform_en.doc.tmp
<Имя диска съемного носителя>:\508softwareandos.doc.tmp
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.tmp
<Имя диска съемного носителя>:\issi2013_template_for_posters.docx.tmp
<Имя диска съемного носителя>:\glidescope_review_rev_010.docx.tmp
<Имя диска съемного носителя>:\file_p_00000000_1371597592.docx.tmp
<Имя диска съемного носителя>:\nwfieldnotes1966.docx.tmp
<Имя диска съемного носителя>:\sdszfo.docx.tmp
<Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx.tmp
<Имя диска съемного носителя>:\adhd_and_obesity.docx.tmp
<Имя диска съемного носителя>:\holycrosschurchinstructions.docx.tmp
<Имя диска съемного носителя>:\ituneshelpunavailable.htm.tmp
<Имя диска съемного носителя>:\trivial-merge.htm.tmp
<Имя диска съемного носителя>:\iisstart.htm.tmp
<Имя диска съемного носителя>:\alert.htm.tmp
<Имя диска съемного носителя>:\advice_process.htm.tmp
<Имя диска съемного носителя>:\tree_view.htm.tmp
<Имя диска съемного носителя>:\browse.htm.tmp
<Имя диска съемного носителя>:\alert.html.tmp
<Имя диска съемного носителя>:\iisstart.html.tmp
<Имя диска съемного носителя>:\ituneshelpunavailable.html.tmp
<Имя диска съемного носителя>:\howto-index.html.tmp
<Имя диска съемного носителя>:\api-hashmap.html.tmp
<Имя диска съемного носителя>:\browse.html.tmp
<Имя диска съемного носителя>:\tree_view.html.tmp
<Имя диска съемного носителя>:\parnas_01.jpeg.tmp
<Имя диска съемного носителя>:\2.jpeg.tmp
<Имя диска съемного носителя>:\210252809.jpeg.tmp
<Имя диска съемного носителя>:\210252809.jpg.tmp
<Имя диска съемного носителя>:\pushkin.jpg.tmp
<Имя диска съемного носителя>:\168.jpg.tmp
<Имя диска съемного носителя>:\region-north-karelia.jpg.tmp
<Имя диска съемного носителя>:\4f0bf7ff71f28.jpg.tmp
<Имя диска съемного носителя>:\etc6_m_1.mov.tmp
<Имя диска съемного носителя>:\spanner.mov.tmp
<Имя диска съемного носителя>:\firefly1.mov.tmp
<Имя диска съемного носителя>:\scan.mov.tmp
<Имя диска съемного носителя>:\clip_480_5sec_6mbps_h264.mp4.tmp
<Имя диска съемного носителя>:\video_1.mp4.tmp
<Имя диска съемного носителя>:\clip_1080_5sec_10mbps_h264.mp4.tmp
<Имя диска съемного носителя>:\d0068197bb5a41fea16a220c45390606.mp4.tmp
<Имя диска съемного носителя>:\ff_ot_user_guide.pdf.tmp
<Имя диска съемного носителя>:\lom602.pdf.tmp
<Имя диска съемного носителя>:\10thingscondoms.pdf.tmp
<Имя диска съемного носителя>:\delongcacert.pem.tmp
<Имя диска съемного носителя>:\investmentbankca_ca8.pem.tmp
<Имя диска съемного носителя>:\irgeek.pem.tmp
<Имя диска съемного носителя>:\hhhlcert.pem.tmp
<Имя диска съемного носителя>:\server.pem.tmp
<Имя диска съемного носителя>:\ck_ugo.pem.tmp
<Имя диска съемного носителя>:\dissolveanother.png.tmp
<Имя диска съемного носителя>:\breakpoint.png.tmp
<Имя диска съемного носителя>:\block.png.tmp
<Имя диска съемного носителя>:\cbz.png.tmp
<Имя диска съемного носителя>:\background.png.tmp
<Имя диска съемного носителя>:\mappingconcepthubberlin.ppt.tmp
<Имя диска съемного носителя>:\sacs_presentation_sacs_qep_improving_rt_education_final.ppt.tmp
<Имя диска съемного носителя>:\sim_gametheory_to_finance.ppt.tmp
<Имя диска съемного носителя>:\proposaltemplates.ppt.tmp
<Имя диска съемного носителя>:\file1.ppt.tmp
<Имя диска съемного носителя>:\writingcompletesarnarrative_1103.ppt.tmp
<Имя диска съемного носителя>:\ppswamp.ppt.tmp
<Имя диска съемного носителя>:\accountsreceivable.ppt.tmp
<Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx.tmp
<Имя диска съемного носителя>:\asaprojectcompetition.pptx.tmp
<Имя диска съемного носителя>:\waterresourcesag.pptx.tmp
<Имя диска съемного носителя>:\indogerman2010.pptx.tmp
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx.tmp
<Имя диска съемного носителя>:\swc_2009-03-02.rdf.tmp
<Имя диска съемного носителя>:\digest.rdf.tmp
<Имя диска съемного носителя>:\contenttypes.rdf.tmp
<Имя диска съемного носителя>:\elvisimp.rdf.tmp
<Имя диска съемного носителя>:\foaf.rdf.tmp
<Имя диска съемного носителя>:\schema.rdf.tmp
<Имя диска съемного носителя>:\skos.rdf.tmp
<Имя диска съемного носителя>:\20140114.rdf.tmp
<Имя диска съемного носителя>:\router_manual.rtf.tmp
<Имя диска съемного носителя>:\phytoremediation.rtf.tmp
<Имя диска съемного носителя>:\myhrvoldhanssenbiharfamine.rtf.tmp
<Имя диска съемного носителя>:\krsweden.rtf.tmp
<Имя диска съемного носителя>:\waterlandhealthkano.rtf.tmp
<Имя диска съемного носителя>:\pandp.rtf.tmp
<Имя диска съемного носителя>:\military_callsigns_0311.rtf.tmp
<Имя диска съемного носителя>:\flower_trans_matte.wmv.tmp
<Имя диска съемного носителя>:\calculatorworksheet.xls.tmp
<Имя диска съемного носителя>:\guide_reorganization_mapping.xls.tmp
<Имя диска съемного носителя>:\productos.xls.tmp
<Имя диска съемного носителя>:\subjectclassification.xls.tmp
<Имя диска съемного носителя>:\removedtitles_records.xls.tmp
<Имя диска съемного носителя>:\2013_finalsummaryforweb.xlsx.tmp
<Имя диска съемного носителя>:\2013_smccc_competition_points_jul2013.xlsx.tmp
<Имя диска съемного носителя>:\applicant.xlsx.tmp
<Имя диска съемного носителя>:\national_autism_preparation_programs.xlsx.tmp
<Имя диска съемного носителя>:\disclosuredetails.xlsx.tmp
<Имя диска съемного носителя>:\removedtitles_records.zip.tmp
<Имя диска съемного носителя>:\fiche_inscription_2015.zip.tmp
<Имя диска съемного носителя>:\excel_example.zip.tmp
<Имя диска съемного носителя>:\calculatorworksheet.zip.tmp
<Имя диска съемного носителя>:\subjectclassification.zip.tmp
<Имя диска съемного носителя>:\price030215.zip.tmp
<Имя диска съемного носителя>:\price.zip.tmp
<Имя диска съемного носителя>:\1sm_price.zip.tmp
<Имя диска съемного носителя>:\system volume information\wpsettings.dat.tmp

Изменяет следующие файлы

%APPDATA%\microsoft\windows\themes\transcodedwallpaper
%APPDATA%\microsoft\windows\themes\cachedfiles\cachedimage_1152_864_pos2.jpg

Изменяет расширения файлов пользовательских данных (Trojan.Encoder).

Сетевая активность

Подключается к

'<LOCALNET>..32.0':445
'<LOCALNET>..32.1':445
'<LOCALNET>..32.2':445
'<LOCALNET>..32.3':445
'<LOCALNET>..32.4':445
'<LOCALNET>..32.5':445
'<LOCALNET>..32.6':445
'<LOCALNET>..32.7':445
'<LOCALNET>..32.8':445
'<LOCALNET>..32.9':445
'<LOCALNET>..32.10':445
'<LOCALNET>..32.11':445
'<LOCALNET>..32.12':445
'<LOCALNET>..32.13':445
'<LOCALNET>..32.14':445
'<LOCALNET>..32.15':445
'<LOCALNET>..32.16':445
'<LOCALNET>..32.17':445
'<LOCALNET>..32.18':445
'<LOCALNET>..32.19':445
'<LOCALNET>..32.20':445
'<LOCALNET>..32.21':445
'<LOCALNET>..32.22':445
'<LOCALNET>..32.23':445
'<LOCALNET>..32.24':445
'<LOCALNET>..32.25':445
'<LOCALNET>..32.26':445
'<LOCALNET>..32.27':445
'<LOCALNET>..32.28':445
'<LOCALNET>..32.29':445
'<LOCALNET>..32.30':445
'<LOCALNET>..32.31':445
'<LOCALNET>..32.32':445
'<LOCALNET>..32.33':445
'<LOCALNET>..32.34':445
'<LOCALNET>..32.35':445
'<LOCALNET>..32.36':445
'<LOCALNET>..32.37':445
'<LOCALNET>..32.38':445
'<LOCALNET>..32.39':445
'<LOCALNET>..32.40':445
'<LOCALNET>..32.41':445
'<LOCALNET>..32.42':445
'<LOCALNET>..32.43':445
'<LOCALNET>..32.44':445
'<LOCALNET>..32.45':445
'<LOCALNET>..32.46':445
'<LOCALNET>..32.47':445
'<LOCALNET>..32.48':445
'<LOCALNET>..32.49':445
'<LOCALNET>..32.50':445
'<LOCALNET>..32.51':445
'<LOCALNET>..32.52':445
'<LOCALNET>..32.53':445
'<LOCALNET>..32.54':445
'<LOCALNET>..32.55':445
'<LOCALNET>..32.56':445
'<LOCALNET>..32.57':445
'<LOCALNET>..32.58':445
'<LOCALNET>..32.59':445
'<LOCALNET>..32.60':445
'<LOCALNET>..32.61':445
'<LOCALNET>..32.62':445
'<LOCALNET>..32.63':445
'<LOCALNET>..32.64':445
'<LOCALNET>..32.65':445
'<LOCALNET>..32.66':445
'<LOCALNET>..32.67':445
'<LOCALNET>..32.68':445
'<LOCALNET>..32.69':445
'<LOCALNET>..32.70':445
'<LOCALNET>..32.71':445
'<LOCALNET>..32.72':445
'<LOCALNET>..32.73':445
'<LOCALNET>..32.74':445
'<LOCALNET>..32.75':445
'<LOCALNET>..32.76':445
'<LOCALNET>..32.77':445
'<LOCALNET>..32.78':445
'<LOCALNET>..32.79':445
'<LOCALNET>..32.80':445
'<LOCALNET>..32.81':445
'<LOCALNET>..32.82':445
'<LOCALNET>..32.83':445
'<LOCALNET>..32.84':445
'<LOCALNET>..32.85':445
'<LOCALNET>..32.86':445
'<LOCALNET>..32.87':445
'<LOCALNET>..32.88':445
'<LOCALNET>..32.89':445
'<LOCALNET>..32.90':445
'<LOCALNET>..32.91':445
'<LOCALNET>..32.92':445
'<LOCALNET>..32.93':445
'<LOCALNET>..32.94':445
'<LOCALNET>..32.95':445
'<LOCALNET>..32.96':445
'<LOCALNET>..32.97':445
'<LOCALNET>..32.98':445
'<LOCALNET>..32.99':445
'<LOCALNET>..32.100':445
'<LOCALNET>..32.101':445
'<LOCALNET>..32.102':445
'<LOCALNET>..32.103':445
'<LOCALNET>..32.104':445
'<LOCALNET>..32.105':445
'<LOCALNET>..32.106':445
'<LOCALNET>..32.107':445
'<LOCALNET>..32.108':445
'<LOCALNET>..32.109':445
'<LOCALNET>..32.110':445
'<LOCALNET>..32.111':445
'<LOCALNET>..32.112':445
'<LOCALNET>..32.113':445
'<LOCALNET>..32.114':445
'<LOCALNET>..32.115':445
'<LOCALNET>..32.116':445
'<LOCALNET>..32.117':445
'<LOCALNET>..32.118':445
'<LOCALNET>..32.119':445
'<LOCALNET>..32.120':445
'<LOCALNET>..32.121':445
'<LOCALNET>..32.122':445
'<LOCALNET>..32.123':445
'<LOCALNET>..32.124':445
'<LOCALNET>..32.125':445
'<LOCALNET>..32.126':445
'<LOCALNET>..32.127':445
'<LOCALNET>..32.128':445
'<LOCALNET>..32.129':445
'<LOCALNET>..32.130':445
'<LOCALNET>..32.131':445
'<LOCALNET>..32.132':445
'<LOCALNET>..32.133':445
'<LOCALNET>..32.134':445
'<LOCALNET>..32.135':445
'<LOCALNET>..32.136':445
'<LOCALNET>..32.137':445
'<LOCALNET>..32.138':445
'<LOCALNET>..32.139':445
'<LOCALNET>..32.140':445
'<LOCALNET>..32.141':445
'<LOCALNET>..32.142':445
'<LOCALNET>..32.143':445
'<LOCALNET>..32.144':445
'<LOCALNET>..32.145':445
'<LOCALNET>..32.146':445
'<LOCALNET>..32.147':445
'<LOCALNET>..32.148':445
'<LOCALNET>..32.149':445
'<LOCALNET>..32.150':445
'<LOCALNET>..32.151':445
'<LOCALNET>..32.152':445
'<LOCALNET>..32.153':445
'<LOCALNET>..32.154':445
'<LOCALNET>..32.155':445
'<LOCALNET>..32.156':445
'<LOCALNET>..32.157':445
'<LOCALNET>..32.158':445
'<LOCALNET>..32.159':445
'<LOCALNET>..32.160':445
'<LOCALNET>..32.161':445
'<LOCALNET>..32.162':445
'<LOCALNET>..32.163':445
'<LOCALNET>..32.164':445
'<LOCALNET>..32.165':445
'<LOCALNET>..32.166':445
'<LOCALNET>..32.167':445
'<LOCALNET>..32.168':445
'<LOCALNET>..32.169':445
'<LOCALNET>..32.170':445
'<LOCALNET>..32.171':445
'<LOCALNET>..32.172':445
'<LOCALNET>..32.173':445
'<LOCALNET>..32.174':445
'<LOCALNET>..32.175':445
'<LOCALNET>..32.176':445
'<LOCALNET>..32.177':445
'<LOCALNET>..32.178':445
'<LOCALNET>..32.179':445
'<LOCALNET>..32.180':445
'<LOCALNET>..32.181':445
'<LOCALNET>..32.182':445
'<LOCALNET>..32.183':445
'<LOCALNET>..32.184':445
'<LOCALNET>..32.185':445
'<LOCALNET>..32.186':445
'<LOCALNET>..32.187':445
'<LOCALNET>..32.188':445
'<LOCALNET>..32.189':445
'<LOCALNET>..32.190':445
'<LOCALNET>..32.191':445
'<LOCALNET>..32.192':445
'<LOCALNET>..32.193':445
'<LOCALNET>..32.194':445
'<LOCALNET>..32.195':445
'<LOCALNET>..32.196':445
'<LOCALNET>..32.197':445
'<LOCALNET>..32.198':445
'<LOCALNET>..32.199':445
'<LOCALNET>..32.200':445
'<LOCALNET>..32.201':445
'<LOCALNET>..32.202':445
'<LOCALNET>..32.203':445
'<LOCALNET>..32.204':445
'<LOCALNET>..32.205':445
'<LOCALNET>..32.206':445
'<LOCALNET>..32.207':445
'<LOCALNET>..32.208':445
'<LOCALNET>..32.209':445
'<LOCALNET>..32.210':445
'<LOCALNET>..32.211':445
'<LOCALNET>..32.212':445
'<LOCALNET>..32.213':445
'<LOCALNET>..32.214':445
'<LOCALNET>..32.215':445
'<LOCALNET>..32.216':445
'<LOCALNET>..32.217':445
'<LOCALNET>..32.218':445
'<LOCALNET>..32.219':445
'<LOCALNET>..32.220':445
'<LOCALNET>..32.221':445
'<LOCALNET>..32.222':445
'<LOCALNET>..32.223':445
'<LOCALNET>..32.224':445
'<LOCALNET>..32.225':445
'<LOCALNET>..32.226':445
'<LOCALNET>..32.227':445
'<LOCALNET>..32.228':445
'<LOCALNET>..32.229':445
'<LOCALNET>..32.230':445
'<LOCALNET>..32.231':445
'<LOCALNET>..32.232':445
'<LOCALNET>..32.233':445
'<LOCALNET>..32.234':445
'<LOCALNET>..32.235':445
'<LOCALNET>..32.236':445
'<LOCALNET>..32.237':445
'<LOCALNET>..32.238':445
'<LOCALNET>..32.239':445
'<LOCALNET>..32.240':445
'<LOCALNET>..32.241':445
'<LOCALNET>..32.242':445
'<LOCALNET>..32.243':445
'<LOCALNET>..32.244':445
'<LOCALNET>..32.245':445
'<LOCALNET>..32.246':445
'<LOCALNET>..32.247':445
'<LOCALNET>..32.248':445
'<LOCALNET>..32.249':445
'<LOCALNET>..32.250':445
'<LOCALNET>..32.251':445
'<LOCALNET>..32.252':445
'<LOCALNET>..32.253':445
'<LOCALNET>..32.254':445

Другое

Запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "Get-CimInstance Win32_ShadowCopy | Remove-CimInstance" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "Get-VM | Stop-VM -Force" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c wevtutil cl security (со скрытым окном)
'<SYSTEM32>\wevtutil.exe' cl security
'<SYSTEM32>\cmd.exe' /c wevtutil cl system (со скрытым окном)
'<SYSTEM32>\wevtutil.exe' cl system
'<SYSTEM32>\cmd.exe' /c wevtutil cl application (со скрытым окном)
'<SYSTEM32>\wevtutil.exe' cl application
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} recoveryenabled No (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures (со скрытым окном)
'<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней