Trojan.KillProc.32713

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'FakeKMS' = '%HOMEPATH%\fakekms.exe RunKMSEmulation'

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\reg.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\reg.exe' /pid=0xb60 /log
'<SYSTEM32>\reg.exe' "%WINDIR%\Web\Wallpaper\Theme1\*.*" /grant %USERNAME%s:f
'<SYSTEM32>\icacls.exe' "%WINDIR%\Web\Wallpaper\Theme1\*.*" /grant FFPXOMEV:f
'<SYSTEM32>\conhost.exe' /f "%WINDIR%\Web\Wallpaper\Theme2\*.*"
'<SYSTEM32>\attrib.exe' 0x65c reg.exe
'<SYSTEM32>\conhost.exe' /f "%WINDIR%\Web\Wallpaper\Theme1\*.*"
'<SYSTEM32>\icacls.exe' /pid=0x214 /log
'<SYSTEM32>\taskkill.exe' <Служебный элемент>
'<SYSTEM32>\icacls.exe' "%WINDIR%\Web\Screen\*.*" /grant %HOMEPATH%\:f"
'<SYSTEM32>\reg.exe'
'<SYSTEM32>\conhost.exe' "%WINDIR%\Web\Screen\*.*" /grant %USERNAME%s:f"
'<SYSTEM32>\conhost.exe' "%WINDIR%\Web\Wallpaper\Theme2\*.*" /grant %USERNAME%s:f
'<SYSTEM32>\icacls.exe' "%WINDIR%\Web\Wallpaper\Theme2\*.*" /grant FFPXOMEV:f
'<SYSTEM32>\takeown.exe' /f "%WINDIR%\Web\Screen\*.*"
'<SYSTEM32>\DllHost.exe' <Служебный элемент>
'<SYSTEM32>\taskhost.exe' /pid=0x7f8 /log
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v FakeKMS /t REG_SZ /f /d "%HOMEPATH%\fakekms.exe RunKMSEmulation"
'<SYSTEM32>\takeown.exe' /f "%WINDIR%\Web\Wallpaper\Windows\img0.jpg"
'<SYSTEM32>\attrib.exe' -h -s "%HOMEPATH%\fakekms.exe"
'<SYSTEM32>\taskkill.exe' /f /im RuntimeBroker.exe
'<SYSTEM32>\taskkill.exe' /f /im fakekms.exe
'<SYSTEM32>\attrib.exe' -h -s "%HOMEPATH%\RuntimeBroker.exe"
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\Desktop" /v TileWallpaper /t REG_SZ /f /d 0
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v Wallpaper /t REG_SZ /f /d "%WINDIR%\Web\Wallpaper\Windows\img0.jpg"
'<SYSTEM32>\attrib.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v NoDispScrSavPage /t REG_DWORD /f /d 1
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\Desktop" /v WallpaperStyle /t REG_SZ /f /d 10
'<SYSTEM32>\attrib.exe' "%WINDIR%\Web\Wallpaper\Windows\img0.jpg" /grant %USERNAME%s:f
'<SYSTEM32>\icacls.exe' "%WINDIR%\Web\Wallpaper\Windows\img0.jpg" /grant FFPXOMEV:f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\Desktop" /v Wallpaper /t REG_SZ /f /d "%WINDIR%\Web\Wallpaper\Windows\img0.jpg"

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\lock.jpg
%HOMEPATH%\img.jpg
%HOMEPATH%\img0.jpg
%HOMEPATH%\install.cmd
%WINDIR%\Web\Wallpaper\Windows\img0.bak
%HOMEPATH%\fakekms.exe
<Служебный элемент>
%HOMEPATH%\lock.png
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\XrniM[1]
%HOMEPATH%\kmsemulator.exe
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\ezKA9[1]
%HOMEPATH%\kmsemulatorframework.exe
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\H1o4s[1]
%HOMEPATH%\kmsemulatordata.bcd
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\GJoJo[1]