Trojan.KillProc.14815

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\ncsvc] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\NetCare\v5\ncsvc.exe -i
%TEMP%\nse2.tmp\ns9.tmp "%PROGRAM_FILES%\NetCare\v5\ncsvc.exe" -i
%TEMP%\nse2.tmp\ns8.tmp sc delete ncsvc
%TEMP%\nse2.tmp\nsA.tmp "%PROGRAM_FILES%\NetCare\v5\drv\DriverSigning.exe" /verbose /off
%PROGRAM_FILES%\NetCare\v5\drv\snetcfg.exe -v -l ncdrv.inf -m ncdrv_m.inf -c s -i nt_ncdrv
%TEMP%\nse2.tmp\nsB.tmp "%PROGRAM_FILES%\NetCare\v5\drv\snetcfg.exe" -v -l ncdrv.inf -m ncdrv_m.inf -c s -i nt_ncdrv
%PROGRAM_FILES%\NetCare\v5\drv\DriverSigning.exe /verbose /off
%TEMP%\nse2.tmp\ns5.tmp "%PROGRAM_FILES%\NetCare\v5\WindowsUpdateAgent20-x86.exe" /quiet
%TEMP%\nse2.tmp\ns4.tmp taskkill /f /im NetCare.exe
%TEMP%\nse2.tmp\ns3.tmp taskkill /f /im NetCare.exe
%PROGRAM_FILES%\NetCare\v5\WindowsUpdateAgent20-x86.exe /quiet
%TEMP%\nse2.tmp\ns7.tmp taskkill /f /im ncsvc.exe
%TEMP%\nse2.tmp\ns6.tmp net stop ncsvc
%PROGRAM_FILES%\NetCare\v5\WindowsUpdateAgent20-x86.exe (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\taskkill.exe /f /im ncsvc.exe
<SYSTEM32>\sc.exe delete ncsvc
<SYSTEM32>\net1.exe stop ncsvc
<SYSTEM32>\taskkill.exe /f /im NetCare.exe
<SYSTEM32>\net.exe stop ncsvc

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nse2.tmp\nsA.tmp
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\2a356985-6018-4734-a1cf-007e7d0298ed
%PROGRAM_FILES%\NetCare\v5\drv\DriverSigning.exe
%PROGRAM_FILES%\NetCare\v5\drv\ncdrv_m.inf
%PROGRAM_FILES%\NetCare\v5\drv\ncdrv.sys
%PROGRAM_FILES%\NetCare\v5\drv\ncdrv_x86.cat
%PROGRAM_FILES%\NetCare\v5\drv\ncdrv.inf
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%WINDIR%\inf\oem3.inf
%TEMP%\CabE.tmp
%TEMP%\Cab12.tmp
%WINDIR%\inf\oem3.PNF
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%TEMP%\nse2.tmp\nsB.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\nse2.tmp\ns5.tmp
%PROGRAM_FILES%\NetCare\v5\WindowsUpdateAgent20-x86.exe
%TEMP%\nse2.tmp\ns7.tmp
%TEMP%\nse2.tmp\ns6.tmp
%TEMP%\nse2.tmp\NSISdl.dll
%TEMP%\nse2.tmp\nsExec.dll
%TEMP%\nse2.tmp\System.dll
%TEMP%\nse2.tmp\ns4.tmp
%TEMP%\nse2.tmp\ns3.tmp
%TEMP%\nse2.tmp\ns8.tmp
%PROGRAM_FILES%\NetCare\v5\ncpatch.exe
%PROGRAM_FILES%\NetCare\v5\ncmsg.exe
%PROGRAM_FILES%\NetCare\v5\drv\snetcfg.exe
%TEMP%\nse2.tmp\ns9.tmp
%PROGRAM_FILES%\NetCare\v5\ncsvc.exe
%PROGRAM_FILES%\NetCare\v5\ncnetwork.dll
%PROGRAM_FILES%\NetCare\v5\ncsystem.dll
%PROGRAM_FILES%\NetCare\v5\ncupdate.exe
%PROGRAM_FILES%\NetCare\v5\ncdrvapi.dll

Удаляет следующие файлы:

%TEMP%\nse2.tmp\ns9.tmp
%TEMP%\nse2.tmp\ns8.tmp
%TEMP%\nse2.tmp\nsA.tmp
%TEMP%\Cab12.tmp
%TEMP%\CabE.tmp
%TEMP%\nse2.tmp\ns7.tmp
%TEMP%\nse2.tmp\ns4.tmp
%TEMP%\nse2.tmp\ns3.tmp
%TEMP%\nse2.tmp\ns5.tmp
%TEMP%\nse2.tmp\ns6.tmp
%PROGRAM_FILES%\NetCare\v5\WindowsUpdateAgent20-x86.exe

Сетевая активность:

Подключается к:

'www.download.windowsupdate.com':80
'wp#d':80
'<IP-адрес в локальной сети>':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
<IP-адрес в локальной сети>/netcare/v5.4/etc/WindowsUpdateAgent20-x86.exe
wp#d/wpad.dat

UDP: