Trojan.Encoder.5017

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'epyvocag' = '"%WINDIR%\enanubit.exe"'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Запускает на исполнение:

'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
[<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
[<HKCU>\Software\Microsoft\Internet Account Manager]
[<HKLM>\Software\Microsoft\Internet Account Manager]
[<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Microsoft Outlook Internet Settings]

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\video.png
%APPDATA%\HEB.zdct
%APPDATA%\LoadLayers.exv
%APPDATA%\win32_MoveDrop32x32.gif
%APPDATA%\preview.png
%APPDATA%\VsTextured.hlsl
%APPDATA%\500-14.htm
%APPDATA%\tweakChkDsk_nl.p5p
%APPDATA%\forward32.png
%APPDATA%\embedding.xml
%APPDATA%\name-test.js
%APPDATA%\toast_critical_message.png
%APPDATA%\titlefoil.html.xml
%APPDATA%\Ataghan.G
%APPDATA%\w3c-prev.png
%APPDATA%\ulink.hyphenate.chars.xml
%APPDATA%\t12.png
%APPDATA%\MergeModules
%APPDATA%\Frosted Detail Plastic - Frosted Ultra Detail.3PP
%APPDATA%\b_dk.jpg
%APPDATA%\calendar2.png
%APPDATA%\Alienlabs.UpgradeService.dll.config
%APPDATA%\GMT+11
%APPDATA%\navig.graphics.extension.xml
%APPDATA%\Havana
%APPDATA%\BMC blue 2.ADO
%APPDATA%\no.next.image.xml
%APPDATA%\GIF 128 No Dither.irs
%APPDATA%\Aero.dll
%ALLUSERSPROFILE%\Application Data\uciqelufyjyryluj\ifugupat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\plain[1]
%ALLUSERSPROFILE%\Application Data\uciqelufyjyryluj\atugolat
%ALLUSERSPROFILE%\Application Data\uciqelufyjyryluj\emugavat
%WINDIR%\enanubit.exe
%APPDATA%\78-RKSJ-V
%APPDATA%\man.th.title.max.length.xml
%APPDATA%\toc.line.properties.xml
%APPDATA%\arrow_right_disabled.png
%APPDATA%\tweakRepairWinsock_it.p5p
%APPDATA%\plus.image.xml
%APPDATA%\Novokuznetsk
%APPDATA%\race.js
%APPDATA%\cpu_stress.xml
%APPDATA%\Frosted Detail Plastic - Frosted Detail.3PP
%APPDATA%\no-module.js
%APPDATA%\sound.png
%APPDATA%\GMT-14
%APPDATA%\formal.title.properties.xml
%APPDATA%\Cool Gray 9 bl 4.ADO
%APPDATA%\OpenMapleLicensing.txt
%APPDATA%\modem.xml
%APPDATA%\pt-PT.pak
%APPDATA%\Yellow Filter.blw
%APPDATA%\ulink.footnotes.xml
%APPDATA%\services.png
%APPDATA%\windows.png
%APPDATA%\generate.section.toc.level.xml
%APPDATA%\column.count.back.xml
%APPDATA%\xbStyle.js.xml
%TEMP%\nsj2.tmp\System.dll
%APPDATA%\DomeConstrictor.h
%APPDATA%\use.id.function.xml
%APPDATA%\profile.revisionflag.xml
%APPDATA%\console.log
%APPDATA%\htmlhelp.enhanced.decompilation.xml
%APPDATA%\tweakNetworkingManual_fi.p5p
%APPDATA%\computer_server_stack.png
%APPDATA%\VisiBone2.aco
%APPDATA%\SceneButtonInset_Alpha1.png
%APPDATA%\xercesImpl.NOTICE.txt
%APPDATA%\CommandTemplate.mws
%APPDATA%\hidetoc.gif
%APPDATA%\tweakChkDsk_fi.p5p
%APPDATA%\README_kn_IN.txt
%APPDATA%\doap.rdf
%APPDATA%\blockquote.properties.xml
%APPDATA%\profile.audience.xml
%APPDATA%\Mbabane
%APPDATA%\arbortext.extensions.xml
%APPDATA%\goURL_lr_photoshop_kr.csv
%APPDATA%\olduninstall.iss
%APPDATA%\HKm314-B5-V
%APPDATA%\refresh_disabled.png
%APPDATA%\palm_alpha_0.png
%APPDATA%\13.gif
%APPDATA%\callout.graphics.xml
%APPDATA%\cursors.properties
%APPDATA%\slides.css
%APPDATA%\90-synthetic.conf
%APPDATA%\HKdlb-B5-V