Trojan.KillProc2.7220

Техническая информация

Вредоносные функции

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\syswow64\cmd.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ufrpc3nkdvbu\handle.exe
%TEMP%\ufrpc3nkdvbu\passwordpolicy.log
%TEMP%\sce42195.tmp
unc\user-pc*\mailslot\net\netlogon
%TEMP%\ufrpc3nkdvbu\grouppolicy.log
unc\btjpvzigw*\mailslot\net\netlogon
%TEMP%\ufrpc3nkdvbu\errorlog.log
%TEMP%\ufrpc3nkdvbu\record.log
%TEMP%\ufrpc3nkdvbu\c+
%TEMP%\ufrpc3nkdvbu\gcb.exe
%TEMP%\ufrpc3nkdvbu\filever.exe
%TEMP%\ufrpc3nkdvbu\issducurl.exe
%TEMP%\ufrpc3nkdvbu\autorunsc.exe
%TEMP%\ufrpc3nkdvbu\_sc.exe
%TEMP%\ufrpc3nkdvbu\wusscan.dll
%TEMP%\ufrpc3nkdvbu\wsusscn2.cab.dat
%TEMP%\ufrpc3nkdvbu\upload.bat
%TEMP%\ufrpc3nkdvbu\tcpvcon.exe
%TEMP%\ufrpc3nkdvbu\swreg.exe
%TEMP%\ufrpc3nkdvbu\sigcheck.exe
%TEMP%\ufrpc3nkdvbu\scan.bat
%TEMP%\ufrpc3nkdvbu\rar.exe
%TEMP%\ufrpc3nkdvbu\pslist.exe
%TEMP%\ufrpc3nkdvbu\mbsacli.exe
%TEMP%\ufrpc3nkdvbu\listdlls.exe
%TEMP%\ufrpc3nkdvbu\issdu.ini
%TEMP%\ufrpc3nkdvbu\issdu.ico
%TEMP%\ufrpc3nkdvbu\hiddenbat.vbs
%TEMP%\ufrpc3nkdvbu\env.log
%TEMP%\ufrpc3nkdvbu\files.log

Удаляет следующие файлы

%TEMP%\sce42195.tmp

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%TEMP%\UFRpc3NkdVBU\HiddenBat.vbs"
'%WINDIR%\syswow64\cmd.exe' /c "%TEMP%\UFRpc3NkdVBU\scan.bat"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c "%TEMP%\UFRpc3NkdVBU\scan.bat"
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo GCB=Y "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo DragonSoftGCB=N "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo Event=Y "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo Display=N "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo #┤В·╕╒ВЄ^╢╟ "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo TESTMODE=N "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo #wmic░ГєВЅDВјO╖|╖φ╛≈Г‘dВЄ║ГAГ±Гє╡M╜╨╣w│]╢}▒╥ "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo Wmic=Y "
'%WINDIR%\syswow64\cmd.exe' /c date /t
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo Wed "
'%WINDIR%\syswow64\findstr.exe' "\/ -"
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo 10/23/2019 "
'%WINDIR%\syswow64\cmd.exe' /c time /t
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo 12:26 "
'%WINDIR%\syswow64\findstr.exe' /r "[1234567890]"
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo AM "
'%WINDIR%\syswow64\cmd.exe' /c ipconfig | findstr /R "[1234567890]*\.[1234567890]*\.[1234567890]*\.[1234567890]*"
'%WINDIR%\syswow64\ipconfig.exe'
'%WINDIR%\syswow64\findstr.exe' /R "[1234567890]*\.[1234567890]*\.[1234567890]*\.[1234567890]*"
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo #ВЄВј╢░╢}├Г· "
'%WINDIR%\syswow64\gpresult.exe' /v
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo GCBIP= "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo httpPATH=http://17#.#6.5.125 "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo #Г‘╗╛≈┐ΘГ‘X╕⌠В«| "
'%WINDIR%\syswow64\findstr.exe' "="
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo P=c:\issdulog\ "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo #ВЄ^╢╟│]⌐w "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo NETUSE=N "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo netuseIP= "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo netUID=Issdu "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo netPW=62K>c+ "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo netusePATH=10.254.101.11\Issdu "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo FTP=N "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo ftpIP= "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo ftpUID= "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo ftpPW= "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo ftpPATH= "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo HTTP=Y "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo #account:issdu "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo #password:realsecure "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo #В«ВµВЄГ issdu:realsecure "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo httpAUTH=aXNzZHU6cmVhbHNlY3VyZQ== "
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo #└s║⌠IP│]⌐w "
'%WINDIR%\syswow64\secedit.exe' /export /cfg %TEMP%\UFRpc3NkdVBU\PasswordPolicy.log