Trojan.Encoder.641

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Internet Explorer\Desktop\Components\0] 'Source' = 'About:Home'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ereqivod' = '%WINDIR%\ahorygbh.exe'

Заражает следующие исполняемые файлы:

C:\Far2\Plugins\arclite\7zSD.sfx
C:\Far2\Plugins\FTP\lib\ftpDirList.fll
C:\Far2\Plugins\FTP\lib\ftpProgress.fll
C:\Far2\Plugins\arclite\7zS2con.sfx
C:\Far2\Plugins\arclite\7z.sfx
C:\Far2\Plugins\arclite\7zCon.sfx
C:\Far2\Plugins\arclite\7zS2.sfx

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе:

Создает следующие файлы:

C:\Far2\Plugins\ExtSearch\sources\RegExp\PLEASE_READ.txt
C:\Far2\Plugins\ExtSearch\keys\PLEASE_READ.txt
C:\Far2\Plugins\EMenu\PLEASE_READ.txt
C:\Far2\Plugins\ExtSearch\sources\PLEASE_READ.txt
C:\Far2\Plugins\FileCase\PLEASE_READ.txt
C:\Far2\Plugins\FarCmds\PLEASE_READ.txt
C:\Far2\Plugins\ExtSearch\PLEASE_READ.txt
C:\Far2\Plugins\Colorer\hrd\PLEASE_READ.txt
C:\Far2\Plugins\Colorer\hrd\console\PLEASE_READ.txt
C:\Far2\Plugins\Colorer\hrd\console\contrib\PLEASE_READ.txt
C:\Far2\Plugins\Colorer\PLEASE_READ.txt
C:\Far2\Plugins\EditCase\PLEASE_READ.txt
C:\Far2\Plugins\DrawLine\PLEASE_READ.txt
C:\Far2\Plugins\Compare\PLEASE_READ.txt
C:\Far2\PluginSDK\Headers.pas\PLEASE_READ.txt
C:\Far2\PluginSDK\Headers.c\PLEASE_READ.txt
C:\Far2\Plugins\WinSCP\PLEASE_READ.txt
C:\Far2\PLEASE_READ.txt
<LS_APPDATA>\Microsoft\Wallpaper1.bmp
%ALLUSERSPROFILE%\Application Data\unamajmbagib.jpg
<Служебный элемент>
C:\Far2\Plugins\HlfViewer\PLEASE_READ.txt
C:\Far2\Plugins\FTP\PLEASE_READ.txt
C:\Far2\Plugins\FTP\lib\PLEASE_READ.txt
C:\Far2\Plugins\MacroView\PLEASE_READ.txt
C:\Far2\Plugins\TmpPanel\PLEASE_READ.txt
C:\Far2\Plugins\ProcList\PLEASE_READ.txt
C:\Far2\Plugins\Network\PLEASE_READ.txt
C:\Documents and Settings\Default User\Templates\PLEASE_READ.txt
C:\Documents and Settings\Default User\Local Settings\Temporary Internet Files\Content.IE5\PLEASE_READ.txt
C:\Documents and Settings\Default User\Local Settings\History\History.IE5\PLEASE_READ.txt
C:\Documents and Settings\Default User\PLEASE_READ.txt
C:\Far2\Addons\Colors\Custom Highlighting\PLEASE_READ.txt
%HOMEPATH%\Templates\PLEASE_READ.txt
C:\Documents and Settings\LocalService\Local Settings\Application Data\PLEASE_READ.txt
%ALLUSERSPROFILE%\Documents\My Music\Sample Playlists\0338E140\PLEASE_READ.txt
%ALLUSERSPROFILE%\Documents\My Music\Sample Music\PLEASE_READ.txt
%WINDIR%\ahorygbh.exe
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures\PLEASE_READ.txt
C:\Documents and Settings\Default User\Local Settings\Application Data\Microsoft\Windows Media\9.0\PLEASE_READ.txt
C:\Documents and Settings\Default User\Local Settings\Application Data\Microsoft\Media Player\PLEASE_READ.txt
C:\Documents and Settings\Default User\Cookies\PLEASE_READ.txt
C:\Far2\Plugins\Brackets\PLEASE_READ.txt
C:\Far2\Plugins\AutoWrap\PLEASE_READ.txt
C:\Far2\Plugins\arclite\PLEASE_READ.txt
C:\Far2\Plugins\Colorer\bin\PLEASE_READ.txt
C:\Far2\Plugins\Colorer\hrc\PLEASE_READ.txt
C:\Far2\Plugins\Colorer\hrc\auto\PLEASE_READ.txt
C:\Far2\Plugins\Colorer\hrc\auto\types\PLEASE_READ.txt
C:\Far2\Addons\SetUp\PLEASE_READ.txt
C:\Far2\Addons\Macros\PLEASE_READ.txt
C:\Far2\Addons\Colors\Default Highlighting\PLEASE_READ.txt
C:\Far2\Addons\XLat\Russian\PLEASE_READ.txt
C:\Far2\Plugins\Align\PLEASE_READ.txt
C:\Far2\Plugins\7-Zip\PLEASE_READ.txt
C:\Far2\FExcept\PLEASE_READ.txt