BAT.Encoder.18

Троянец-шифровальщик, распространяющийся под видом вложенного в электронные письма резюме. Представляет собой инсталляционный пакет NSIS. После запуска извлекает на компьютер пользователя следующие файлы:

csrss.bat – основной файл троянца;
svchost.exe – переименованная утилита GPG;
iconv.dll - библиотека для работы GPG;
pubring.bak - данные для GPG;
pubring.gpg - данные для GPG;
random_seed - данные для GPG;
secring.gpg - данные для GPG;
trustdb.gpg - данные для GPG.

csrss.bat удаляет директорию %APPDATA%\gnupg\, уничтожая тем самым уже установленную утилиту GPG. Затем повторно создает каталог %APPDATA%\gnupg\ и копирует в него файлы pubring.bak, pubring.gpg, random_seed, secring.gpg, trustdb.gpg.

После этого троянец начинает процесс шифрования данных, для чего перебирает все диски, кроме диска A, и зашифровывает найденные на них файлы. Полученные в итоге файловые объекты имеют расширение *.gpg, которое заменяется на *.pzdc.

Данные ключа, используемого для шифрования:

pub 1024R/6E697C70 2014-06-30 uncrypt <uncrypt@mail.com>

Текст с требованиями выкупа, демонстрируемый после шифровки файлов:

Ваш компьютер был атакован опаснейшим вирусом.
Вся Ваша информация на этом компьютере была зашифрована с помощью самого криптостойкого алгоритма в мире RSA-1024.
Восстановить файлы можно только при помощи программы обратной дешифрации, которая есть только у нас. Чтобы её получить, Вам необходимо написать нам письмо на адрес:

uncrypt@mail.com При попытке расшифровки без нашей программы файлы могут повредиться!
Письма с угрозами будут угрожать только Вам и Вашим файлам! НЕ ЗАБУДЬТЕ: только МЫ можем расшифровать Ваши файлы!

При поступлении угроз в наш адрес, Ваши данные не будут расшифрованы.
Обращаем внимание, что файлы можно расшифровать только с использованием специалного программного обеспечения, которое есть только у нас.

В зависимости от модификации троянца, расширение зашифрованных файлов, а также контактный email могут отличаться: