Trojan.KillProc.12526

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\R.REG
<Имя диска съемного носителя>:\╗╪╩╒╒╛.EXE

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\NET.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\ATTRIB.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\ATTRIB.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\NET.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\SC.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\REGEDIT.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\REGEDIT.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\CMD.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\CMD.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\schtasks.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\FTP.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\AT.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\AT.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\FTP.EXE +H
<SYSTEM32>\attrib.exe C:\Recycled +A +R +S +H
<SYSTEM32>\attrib.exe C:\Recycleds +A +R +S +H
<SYSTEM32>\attrib.exe %WINDIR%\schtasks.EXE +H
<SYSTEM32>\attrib.exe <Имя диска съемного носителя>:\BOOT -H -S -R -A
<SYSTEM32>\attrib.exe C:\Download\TEMP -H -S -R -A
<SYSTEM32>\attrib.exe <Имя диска съемного носителя>:\BOOT\ROOT -H -S -R -A
<SYSTEM32>\attrib.exe C:\Download -H -S -R -A
<SYSTEM32>\attrib.exe %WINDIR%\cscript.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\cscript.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\SC.EXE +H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\ip.bat +H
<SYSTEM32>\attrib.exe %WINDIR%\i.bat +H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\i.bat +H
<SYSTEM32>\attrib.exe %WINDIR%\ip.bat +H
<SYSTEM32>\attrib.exe %WINDIR%\CMD.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\CMD.EXE -H
<SYSTEM32>\taskkill.exe /IM cs* /F /T
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\FTP.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\ATTRIB.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\ATTRIB.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\FTP.EXE -H
<SYSTEM32>\attrib.exe <Имя диска съемного носителя>:\BOOT\ROOT\POWERSHADOW.EXE -A -S -R -H
<SYSTEM32>\attrib.exe C:\BOOT\GHOST\*.* -A -S -R -H
<SYSTEM32>\attrib.exe C:\BOOT -A -S -R -H
<SYSTEM32>\net1.exe user SERVER 8204161424 /add
<SYSTEM32>\taskkill.exe /IM cscript.EXE /F /T
<SYSTEM32>\net1.exe localgroup %USERNAME%s SERVER /add
<SYSTEM32>\net1.exe user SERVER 8204161424
<SYSTEM32>\attrib.exe %WINDIR%\cscript.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\cscript.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\SC.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\ip.bat -H
<SYSTEM32>\attrib.exe %WINDIR%\i.bat -H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\i.bat -H
<SYSTEM32>\attrib.exe %WINDIR%\ip.bat -H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\NET.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\AT.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\AT.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\NET.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\SC.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\REGEDIT.EXE -H
<SYSTEM32>\attrib.exe %WINDIR%\SYSTEM\REGEDIT.EXE -H