Trojan.Encoder.46062

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\desktop.ini

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

удаляет теневые копии разделов.

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\2.jpeg
%HOMEPATH%\desktop\210252809.jpeg
%HOMEPATH%\desktop\64bit_notes.htm
%HOMEPATH%\desktop\alert.htm
%HOMEPATH%\desktop\alert.html
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\archer.avi
%HOMEPATH%\desktop\browse.htm
%HOMEPATH%\desktop\contoso_1.cer
%HOMEPATH%\desktop\dashborder_96.bmp
%HOMEPATH%\desktop\dial.bmp
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\iisstart.html
%HOMEPATH%\desktop\ituneshelpunavailable.html
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\pushkin.jpeg
%HOMEPATH%\desktop\sdkfailsafeemulator.cer
%HOMEPATH%\desktop\sdksampleprivdeveloper.cer
%HOMEPATH%\desktop\testcertificate.cer
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\tileimage.bmp
%HOMEPATH%\desktop\weeklysheet1215.doc
%HOMEPATH%\desktop\toolbar.bmp
%APPDATA%\thunderbird\profiles.ini
%APPDATA%\opera software\opera stable\login data
%APPDATA%\mozilla\firefox\profiles.ini
%LOCALAPPDATA%\microsoft\edge\user data\default\login data
%LOCALAPPDATA%\microsoft\edge\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

C:\readme.txt
C:\decryptor.exe
D:\readme.txt
D:\decryptor.exe
%HOMEPATH%\readme.txt
%HOMEPATH%\decryptor.exe
%HOMEPATH%\desktop\readme.txt
%HOMEPATH%\desktop\decryptor.exe
%HOMEPATH%\documents\readme.txt
%HOMEPATH%\documents\decryptor.exe
%ProgramFiles%\readme.txt
%ProgramFiles%\decryptor.exe
%ProgramFiles(x86)%\readme.txt
%ProgramFiles(x86)%\decryptor.exe
%ALLUSERSPROFILE%\readme.txt
%ALLUSERSPROFILE%\decryptor.exe
%LOCALAPPDATA%\readme.txt
%LOCALAPPDATA%\decryptor.exe
%TEMP%\content\3152-4660-powershell.exe-20-52-59-765.dump
%TEMP%\content\3152-4660-powershell.exe-20-53-00-013.dump
%TEMP%\content\3152-4660-powershell.exe-20-53-00-113.dump
%TEMP%\content\3152-4660-powershell.exe-20-53-00-267.dump
%TEMP%\content\3152-4660-powershell.exe-20-53-01-176.dump
%TEMP%\content\404-1660-powershell.exe-20-52-48-542.dump
%TEMP%\content\404-1660-powershell.exe-20-52-48-807.dump
%TEMP%\content\404-1660-powershell.exe-20-52-48-939.dump
%TEMP%\content\404-1660-powershell.exe-20-52-49-116.dump
%TEMP%\content\404-1660-powershell.exe-20-52-50-220.dump
%LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\localstate\appiconcache\100\zn=bv5!!!!!!!!!mkkskaccessfiles_n8f'ro}vg@{g8gc8rf-7
%LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\localstate\appiconcache\100\zn=bv5!!!!!!!!!mkksklync_corefiles_pwruq7^c^ap,f'm!t7ym
%LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\localstate\appiconcache\100\zn=bv5!!!!!!!!!mkkskwordfiles_%qyb3i=kw_h[gnv'^a,_
%TEMP%\nomatter_wallpaper.bmp
%APPDATA%\readme.txt
%APPDATA%\decryptor.exe

Изменяет следующие файлы

D:\$recycle.bin\s-1-5-21-4226853953-3309226944-3078887307-1000\desktop.ini
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\coffee.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\toolbar.bmp
<Имя диска съемного носителя>:\dashborder_120.bmp
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\508softwareandos.doc
C:\users\desktop.ini
%HOMEPATH%\searches\desktop.ini
%HOMEPATH%\saved games\desktop.ini
%HOMEPATH%\searches\winrt--{s-1-5-21-4226853953-3309226944-3078887307-1000}-.searchconnector-ms
%HOMEPATH%\videos\desktop.ini
%HOMEPATH%\pictures\desktop.ini
%HOMEPATH%\pictures\camera roll\desktop.ini
%HOMEPATH%\music\desktop.ini
%HOMEPATH%\links\desktop.lnk
%HOMEPATH%\links\desktop.ini
%HOMEPATH%\favorites\bing.url
%HOMEPATH%\favorites\desktop.ini
%HOMEPATH%\links\downloads.lnk
%HOMEPATH%\favorites\links\desktop.ini
%HOMEPATH%\downloads\desktop.ini
%HOMEPATH%\documents\desktop.ini
%HOMEPATH%\desktop\desktop.ini

Изменяет множество файлов.

Подменяет следующие файлы

%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_idx.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_16.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_32.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_48.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_96.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_256.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_768.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_1280.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_1920.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_2560.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_sr.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_wide.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_exif.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_wide_alternate.db
%LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_custom_stream.db
%APPDATA%\Microsoft\Windows\Recent\AutomaticDestinations\5f7b5f1e01b83767.automaticDestinations-ms

Изменяет множество файлов пользовательских данных (Trojan.Encoder).

Другое

Запускает на исполнение

'<SYSTEM32>\wbadmin.exe' delete catalog -quiet
'<SYSTEM32>\wbengine.exe'
'<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\default path SystemRestore call Disable "C:"
'<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\default path SystemRestore call Disable "D:"
'<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\vds.exe'