Trojan.Encoder.682

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,%PROGRAM_FILES%\Reference Assemblies\XFPIaJbt.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'hbOLDNpM' = '<LS_APPDATA>\Mozilla\hhAbakNP.exe'

Создает или изменяет следующие файлы:

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

блокирует:

Создает и запускает на исполнение:

Завершает или пытается завершить

следующие пользовательские процессы:

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\JdXtivyUXX.exe
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\3ff6561d1b49399a51b7900e8a97afb3_23ef5514-3059-436f-a4a7-4cefaab20eb1
<LS_APPDATA>\nSHwZzKL\yMpGPXee.zip
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\b9f0ae80817374b26db03d01e8536059_23ef5514-3059-436f-a4a7-4cefaab20eb1
%HOMEPATH%\Desktop\yMpGPXee.zip
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%PROGRAM_FILES%\Reference Assemblies\XFPIaJbt.exe
%TEMP%\vCECHeFQ.exe
<LS_APPDATA>\Mozilla\hhAbakNP.exe
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\78345585-e2b1-4391-9902-c979af7104a1
%TEMP%\UucDYwSnfJ.exe