Trojan.Encoder.33655

Technical Information

To ensure autorun and distribution

Modifies the following registry keys

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '{53BCAB5C-9908-5594-0BCB-A5928ADED6C7}' = '%APPDATA%\guide.exe'

Creates the following files on removable media

<Drive name for removable media>:\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt

Malicious functions

To complicate detection of its presence in the operating system,

deletes volume shadow copies.

Reads files which store third party applications passwords

%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\contosoroot.cer
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\dashborder_96.bmp
%HOMEPATH%\desktop\default.bmp
%HOMEPATH%\desktop\delete.avi
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\nwfieldnotes1966.docx

Modifies file system

Creates the following files

%APPDATA%\guide.exe
C:\far2\plugins\drawline\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\editcase\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\emenu\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\farcmds\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\filecase\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\ftp\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\ftp\lib\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\hlfviewer\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\macroview\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\network\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\tmppanel\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\public\videos\sample videos\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\pluginsdk\headers.c\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\pluginsdk\headers.pas\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\totalcmd\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\totalcmd\language\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\default\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\public\desktop\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\public\music\sample music\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\public\pictures\sample pictures\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\users\public\recorded tv\sample media\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\compare\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\proclist\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\brackets\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\addons\colors\custom_highlighting\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%TEMP%\{41e91d1b-41e9-41e9-41e9-41e91d1b8a37}.bat
%HOMEPATH%\contacts\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\desktop\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\favorites\links\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\favorites\links for united states\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\favorites\microsoft websites\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\favorites\msn websites\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\favorites\windows live\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\links\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
%HOMEPATH%\searches\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\addons\colors\default_highlighting\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\arclite\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\addons\colors\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\addons\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\addons\shell\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\documentation\eng\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\documentation\rus\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\encyclopedia\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\encyclopedia\tap\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\fexcept\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\align\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
C:\far2\plugins\autowrap\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt
D:\ГЄГ ГЄ Г°Г Г±ГёГЁГґГ°Г®ГўГ ГІГј ГґГ Г©Г«Г».txt

Deletes the following files

%APPDATA%\guide.exe

Modifies the following files

%HOMEPATH%\contacts\user.contact
%HOMEPATH%\favorites\msn websites\msn.url
%HOMEPATH%\favorites\msn websites\msn sports.url
%HOMEPATH%\favorites\msn websites\msn money.url
%HOMEPATH%\favorites\msn websites\msn entertainment.url
%HOMEPATH%\favorites\msn websites\msn autos.url
%HOMEPATH%\favorites\microsoft websites\microsoft store.url
%HOMEPATH%\favorites\microsoft websites\microsoft at work.url
%HOMEPATH%\favorites\microsoft websites\microsoft at home.url
%HOMEPATH%\favorites\microsoft websites\ie site on microsoft.com.url
%HOMEPATH%\favorites\microsoft websites\ie add-on site.url
%HOMEPATH%\favorites\links for united states\usa.gov.url
%HOMEPATH%\favorites\links for united states\gobiernousa.gov.url
%HOMEPATH%\favorites\links\web slice gallery.url
%HOMEPATH%\favorites\links\suggested sites.url
%HOMEPATH%\desktop\total commander 64 bit.lnk
%HOMEPATH%\desktop\telegram.lnk
%HOMEPATH%\desktop\qip 2012.lnk
%HOMEPATH%\desktop\mail.ru agent.lnk
%HOMEPATH%\desktop\icq.lnk
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\delete.avi
%HOMEPATH%\desktop\default.bmp
%HOMEPATH%\desktop\dashborder_96.bmp
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\contosoroot.cer
%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\favorites\msn websites\msnbc news.url
%HOMEPATH%\favorites\windows live\get windows live.url

Modifies multiple files.

Substitutes the following files

%APPDATA%\guide.exe

Deletes itself.

Modifies user data files (Trojan.Encoder).

Changes user data files extensions (Trojan.Encoder).

Network activity

Connects to

'ip###ger.com':80
'ip###ger.org':443
'microsoft.com':80
'oc##.#ectigo.com':80

TCP

'ip###ger.com':443

UDP

DNS ASK ip###ger.com
DNS ASK ip###ger.org
DNS ASK microsoft.com
DNS ASK oc##.#ectigo.com

Miscellaneous

Creates and executes the following

'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\{41E91D1B-41E9-41E9-41E9-41E91D1B8A37}.bat' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled No' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures' (with hidden window)

Executes the following

'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\{41E91D1B-41E9-41E9-41E9-41E91D1B8A37}.bat
'%WINDIR%\syswow64\cmd.exe' /c vssadmin Delete Shadows /All /Quiet
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} recoveryenabled No
'%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures

Technologies

Terminology

Training and education

Myths

Technical Information

Curing recommendations

Free trial