Trojan.KillProc.11005

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg7' = 'J:\WINDOWS\system32\hls1\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg6' = 'I:\WINDOWS\system32\hls1\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg8' = 'K:\WINDOWS\system32\hls1\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg10' = 'M:\WINDOWS\system32\hls1\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg9' = 'L:\WINDOWS\system32\hls1\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg5' = 'H:\WINDOWS\system32\hls1\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg1' = '<Имя диска съемного носителя>:\WINDOWS\system32\hls1\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg' = '<SYSTEM32>\hls1\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg2' = 'E:\WINDOWS\system32\hls1\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg4' = 'G:\WINDOWS\system32\hls1\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg3' = 'F:\WINDOWS\system32\hls1\start.cmd'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Создает и запускает на исполнение:

<SYSTEM32>\hls1\svhost.exe -start -hide
<SYSTEM32>\hls1\BlackSS.exe

Запускает на исполнение:

<SYSTEM32>\reg.exe DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg1 /t REG_SZ /d <Имя диска съемного носителя>:\WINDOWS\system32\hls\start.cmd /f
<SYSTEM32>\reg.exe DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg2 /t REG_SZ /d E:\WINDOWS\system32\hls\start.cmd /f
<SYSTEM32>\reg.exe DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg3 /t REG_SZ /d F:\WINDOWS\system32\hls\start.cmd /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg9 /t REG_SZ /d L:\WINDOWS\system32\hls1\start.cmd /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg10 /t REG_SZ /d M:\WINDOWS\system32\hls1\start.cmd /f
<SYSTEM32>\reg.exe DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg /t REG_SZ /d <SYSTEM32>\hls\start.cmd /f
<SYSTEM32>\reg.exe DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg4 /t REG_SZ /d G:\WINDOWS\system32\hls\start.cmd /f
<SYSTEM32>\reg.exe DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg8 /t REG_SZ /d K:\WINDOWS\system32\hls\start.cmd /f
<SYSTEM32>\reg.exe DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg9 /t REG_SZ /d L:\WINDOWS\system32\hls\start.cmd /f
<SYSTEM32>\reg.exe DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg10 /t REG_SZ /d M:\WINDOWS\system32\hls\start.cmd /f
<SYSTEM32>\reg.exe DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg5 /t REG_SZ /d H:\WINDOWS\system32\hls\start.cmd /f
<SYSTEM32>\reg.exe DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg6 /t REG_SZ /d I:\WINDOWS\system32\hls\start.cmd /f
<SYSTEM32>\reg.exe DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg7 /t REG_SZ /d J:\WINDOWS\system32\hls\start.cmd /f
<SYSTEM32>\taskkill.exe /FI svhost.exe
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg /t REG_SZ /d <SYSTEM32>\hls1\start.cmd /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg1 /t REG_SZ /d <Имя диска съемного носителя>:\WINDOWS\system32\hls1\start.cmd /f
<SYSTEM32>\cmd.exe /c ""<SYSTEM32>\hls1\msg.bat" /WINDOWS/system32/hls1/msg.bat"
<SYSTEM32>\netsh.exe firewall set opmode disable
<SYSTEM32>\attrib.exe -h -s %WINDIR%\system\hls1
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg2 /t REG_SZ /d E:\WINDOWS\system32\hls1\start.cmd /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg6 /t REG_SZ /d I:\WINDOWS\system32\hls1\start.cmd /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg7 /t REG_SZ /d J:\WINDOWS\system32\hls1\start.cmd /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg8 /t REG_SZ /d K:\WINDOWS\system32\hls1\start.cmd /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg3 /t REG_SZ /d F:\WINDOWS\system32\hls1\start.cmd /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg4 /t REG_SZ /d G:\WINDOWS\system32\hls1\start.cmd /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg5 /t REG_SZ /d H:\WINDOWS\system32\hls1\start.cmd /f