Trojan.StartPage1.58255

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\MetPipAtcivator] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\MetPipAtcivator] 'ImagePath' = '%WINDIR%\Fonts\svchost.exe'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' stop MetPipAtcivator
'%WINDIR%\syswow64\net.exe' stop SetPipAtcivator
'%WINDIR%\syswow64\net.exe' stop lanmanserver /y
'%WINDIR%\syswow64\net.exe' stop mssecsvc2.0
'%WINDIR%\syswow64\net.exe' stop mssecsvc2.1

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\fonts\svchost.exe
%WINDIR%\fonts\conhost.exe
<Текущая директория>\tem.vbs

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\fonts\conhost.exe
%WINDIR%\fonts\svchost.exe
<Текущая директория>\tem.vbs

Удаляет следующие файлы

<Текущая директория>\tem.vbs

Самоудаляется.

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "<Текущая директория>\tem.vbs"
'%WINDIR%\fonts\svchost.exe' start MetPipAtcivator
'%WINDIR%\fonts\svchost.exe' set MetPipAtcivator Description Provides performance library information from Windows Management.
'%WINDIR%\fonts\svchost.exe' set MetPipAtcivator DisplayName Network Location Service
'%WINDIR%\fonts\svchost.exe' install MetPipAtcivator %WINDIR%\Fonts\conhost.exe
'%WINDIR%\fonts\svchost.exe' set MetPipAtcivator Description Provides performance library information from Windows Management.' (со скрытым окном)
'%WINDIR%\fonts\svchost.exe' set MetPipAtcivator DisplayName Network Location Service' (со скрытым окном)
'%WINDIR%\fonts\svchost.exe' install MetPipAtcivator %WINDIR%\Fonts\conhost.exe' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete mssecsvc2.1' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop mssecsvc2.1' (со скрытым окном)
'%WINDIR%\fonts\svchost.exe' start MetPipAtcivator' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop mssecsvc2.0' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete mssecsvc2.0' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete lanmanserver' (со скрытым окном)
'%WINDIR%\syswow64\net1.exe' user mm123$ /del' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' config lanmanserver start= DISABLED 2>nul' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop lanmanserver /y' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete SetPipAtcivator' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop SetPipAtcivator' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete MetPipAtcivator' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop MetPipAtcivator' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' user mm123$ /del' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c attrib -s -h -r -a %WINDIR%\Fonts' (со скрытым окном)