Trojan.KillProc2.4674

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM "SmartRAM.exe"
'<SYSTEM32>\taskkill.exe' /f /im start8.exe
'<SYSTEM32>\net.exe' stop "Stardock Start8"
'<SYSTEM32>\taskkill.exe' /f /im Start10_64.exe
'<SYSTEM32>\taskkill.exe' /f /im start10Srv.exe
'<SYSTEM32>\taskkill.exe' /f /im start10.exe
'<SYSTEM32>\net.exe' stop "Stardock start10"
'<SYSTEM32>\taskkill.exe' /f /im explorer.exe
'<SYSTEM32>\taskkill.exe' /F /IM "battle.net.exe"
'<SYSTEM32>\taskkill.exe' /f /im start8Srv.exe
'<SYSTEM32>\taskkill.exe' /F /IM "origin.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "spotify.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "opera.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "firefox.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "chrome.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "idman.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "discord.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "skype.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "ccleaner.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "steam.exe"
'<SYSTEM32>\taskkill.exe' /f /im Start8_64.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\explorer.exe

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\kokteyl\kokteyl.bat
nul

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: 'RegEdit_RegEdit' WindowName: ''
ClassName: '' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\Kokteyl\Kokteyl.bat" "
'<SYSTEM32>\cmd.exe' /c reg query "HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Stardock\Misc\Start8" /V Path
'<SYSTEM32>\reg.exe' query "HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Stardock\Misc\Start8" /V Path
'<SYSTEM32>\cmd.exe' /c reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Stardock\Misc\Start8" /V Path
'<SYSTEM32>\reg.exe' query "HKEY_LOCAL_MACHINE\SOFTWARE\Stardock\Misc\Start8" /V Path
'<SYSTEM32>\net1.exe' stop "Stardock start10"
'<SYSTEM32>\sc.exe' delete start10
'<SYSTEM32>\cmd.exe' /c reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Stardock\Misc\Start10" /V Path
'<SYSTEM32>\reg.exe' query "HKEY_LOCAL_MACHINE\SOFTWARE\Stardock\Misc\Start10" /V Path
'<SYSTEM32>\net1.exe' stop "Stardock Start8"
'<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\Software\Stardock\Misc\start10\
'<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\Software\Wow6432Node\Stardock\Misc\start10\
'<SYSTEM32>\reg.exe' query HKEY_CURRENT_USER\Software\Stardock\Start8\
'<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\Software\Stardock\Misc\Start8\
'<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\Software\Stardock\Start8\
'<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\Software\Wow6432Node\Stardock\Misc\Start8\
'<SYSTEM32>\sc.exe' delete Start8
'<SYSTEM32>\reg.exe' query HKEY_CURRENT_USER\Software\Stardock\start10\
'<SYSTEM32>\reg.exe' query "HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Stardock\Misc\Start10" /V Path
'<SYSTEM32>\cmd.exe' /c reg query "HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Stardock\Misc\Start10" /V Path
'<SYSTEM32>\reg.exe' DELETE HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Taskband /F
'<SYSTEM32>\chcp.com' 1254
'<SYSTEM32>\fltMc.exe'
'<SYSTEM32>\wbem\wmic.exe' /Namespace:\\root\default Path SystemRestore Call CreateRestorePoint "Kokteyl", 100, 12
'<SYSTEM32>\cmd.exe' /c "wmic Path Win32_OperatingSystem Get Caption /format:LIST"
'<SYSTEM32>\wbem\wmic.exe' Path Win32_OperatingSystem Get Caption /format:LIST
'<SYSTEM32>\cmd.exe' /c "wmic Path Win32_OperatingSystem Get CSDVersion /format:LIST"
'<SYSTEM32>\wbem\wmic.exe' Path Win32_OperatingSystem Get CSDVersion /format:LIST
'<SYSTEM32>\mode.com' con: cols=70 lines=27
'<SYSTEM32>\cmd.exe' /c "wmic Path Win32_OperatingSystem Get Version /format:LIST"
'<SYSTEM32>\reg.exe' query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v DigitalProductId
'<SYSTEM32>\cscript.exe' //NoLogo //B <SYSTEM32>\slmgr.vbs /ato
'<SYSTEM32>\ping.exe' 127.0.0.1 -n 5
'<SYSTEM32>\ping.exe' 127.0.0.1 -n 4
'<SYSTEM32>\mode.com' con: cols=70 lines=12
'%WINDIR%\regedit.exe' /s %TEMP%\Kokteyl\Core\UAC.reg
'%WINDIR%\regedit.exe' /s %TEMP%\Kokteyl\Kokteyl.reg
'<SYSTEM32>\wbem\wmic.exe' Path Win32_OperatingSystem Get Version /format:LIST
'<SYSTEM32>\cmd.exe' /c ver
'<SYSTEM32>\ping.exe' 127.0.0.1 -n 10