Trojan.KillProc.22522

Техническая информация

Для обеспечения автозапуска и распространения:

Подменяет следующие исполняемые системные файлы:

<SYSTEM32>\dllcache\ftp.exe файлом <SYSTEM32>\dllcache\ftp.exe.new
<SYSTEM32>\dllcache\hh.exe файлом <SYSTEM32>\dllcache\hh.exe.new
<SYSTEM32>\dllcache\winhlp32.exe файлом <SYSTEM32>\dllcache\winhlp32.exe.new
<SYSTEM32>\dllcache\msadco.dll файлом <SYSTEM32>\dllcache\msadco.dll.new
<SYSTEM32>\dllcache\iexplore.exe файлом <SYSTEM32>\dllcache\iexplore.exe.new
<SYSTEM32>\dllcache\beep.sys файлом <SYSTEM32>\dllcache\beep.sys.new
<SYSTEM32>\dllcache\winhstb.exe файлом <SYSTEM32>\dllcache\winhstb.exe.new
%WINDIR%\hh.exe файлом %WINDIR%\hh.exe.new
%WINDIR%\winhlp32.exe файлом %WINDIR%\winhlp32.exe.new
<SYSTEM32>\winhlp32.exe файлом <SYSTEM32>\winhlp32.exe.new
<DRIVERS>\cdaudio.sys файлом <DRIVERS>\SET5.tmp
<DRIVERS>\beep.sys файлом <DRIVERS>\beep.sys.new
<SYSTEM32>\ftp.exe файлом <SYSTEM32>\ftp.exe.new

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\cacls.exe <SYSTEM32>\ssdtti.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\fsevisy.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\fsevisys.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\dsgdacjian.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\StkbsWm.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\sdgfvwl.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\sadfasdf.jpg /d everyone
<SYSTEM32>\cacls.exe %WINDIR%\windows.ext /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\wins\0983\svchost.exe /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\fuck.dll /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\lpk.dll /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\kisl.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\aabvcWm.sys /d everyone
<SYSTEM32>\cacls.exe %WINDIR%\m1.exe /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\1.exe /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\regedit32.exe /d everyone
<SYSTEM32>\cacls.exe %WINDIR%\temp\hook.sys /d everyone
<SYSTEM32>\cacls.exe %WINDIR%\linkinfo.dll /d everyone
<SYSTEM32>\cacls.exe %WINDIR%\temp\acpidisk.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\StWmCvC.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\np3wod.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\dsgdjcctv.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\chipset.exe /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\nWoWCvC.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\npkcrypt.sys /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\wins\0983 /c /p Everyone:r
<SYSTEM32>\cacls.exe <SYSTEM32>\wins\0983 /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\tf0 /c /p Everyone:r
<SYSTEM32>\cacls.exe %PROGRAM_FILES%\windows NT\system /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\cursors /c /p Everyone:r
<SYSTEM32>\cacls.exe <SYSTEM32>\cursors /d everyone
<SYSTEM32>\cacls.exe %WINDIR%\Minidump /c /p Everyone:r
<SYSTEM32>\cacls.exe %WINDIR%\Minidump /d everyone
%WINDIR%\regedit.exe /s %TEMP%\qdal.reg
<SYSTEM32>\cacls.exe <SYSTEM32>\tf0 /d everyone
<SYSTEM32>\cacls.exe %WINDIR%\Down_Temp /c /p Everyone:r
<SYSTEM32>\cacls.exe %WINDIR%\Down_Temp /d everyone
<SYSTEM32>\cacls.exe %PROGRAM_FILES%\windows NT\system /c /p Everyone:r
<SYSTEM32>\cacls.exe c:\system.dll /d everyone
<SYSTEM32>\cacls.exe c:\justkt.dll /d everyone
<SYSTEM32>\cacls.exe c:\x1.tmp /d everyone
<SYSTEM32>\cacls.exe <SYSTEM32>\alg.exe /d everyone
<SYSTEM32>\cacls.exe %WINDIR%\java\classes\clrespsrcfg.exe /d everyone
<SYSTEM32>\cacls.exe %WINDIR%\java\classes\classes.sys /d everyone
<SYSTEM32>\cacls.exe c:\ЎЎЎЎЎЎ.exe /d everyone
<SYSTEM32>\regsvr32.exe /u /s "%CommonProgramFiles%\System\msadc\msadco.dll"
<SYSTEM32>\compact.exe /c /f /i "%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE"
<SYSTEM32>\cacls.exe c:\x.tmp /d everyone
<SYSTEM32>\cacls.exe c:\12~~.tmp /d everyone
<SYSTEM32>\cacls.exe c:\autorun.inf /d everyone

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\spoolsv.exe
<SYSTEM32>\alg.exe

следующие пользовательские процессы:

iexplore.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\qdal.reg
%TEMP%\aut3.tmp
<DRIVERS>\SET5.tmp
<DRIVERS>\SET4.tmp
%TEMP%\Ot
%TEMP%\aut1.tmp
<SYSTEM32>\GroupPolicy\Machine\Registry.pol
%TEMP%\aut2.tmp

Удаляет следующие файлы:

<SYSTEM32>\dllcache\dxdiag.exe
<SYSTEM32>\ftp.exe
<SYSTEM32>\dllcache\debug.exe
<SYSTEM32>\dxdiag.exe
%WINDIR%\hh.exe
<SYSTEM32>\ntvdm.exe
<SYSTEM32>\edit.com
<SYSTEM32>\tree.com
%TEMP%\aut3.tmp
%TEMP%\aut2.tmp
<DRIVERS>\SET4.tmp
%TEMP%\qdal.reg
<DRIVERS>\beep.sys
<SYSTEM32>\debug.exe
<SYSTEM32>\dllcache\explorer.exe
<DRIVERS>\cdaudio.sys
<SYSTEM32>\dllcache\ntvdm.exe
<SYSTEM32>\conime.exe
<SYSTEM32>\dllcache\conime.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\dllcache\spoolsv.exe
%TEMP%\Ot
%TEMP%\aut1.tmp
<SYSTEM32>\alg.exe
<SYSTEM32>\dllcache\alg.exe
%WINDIR%\winhelp.exe
<SYSTEM32>\dllcache\ctfmon.exe
%WINDIR%\winhlp32.exe
<SYSTEM32>\winhlp32.exe
<SYSTEM32>\wuauclt.exe
<SYSTEM32>\dllcache\wuauclt.exe
<SYSTEM32>\wuauclt1.exe
<SYSTEM32>\dllcache\wuauclt1.exe

Перемещает следующие файлы:

<SYSTEM32>\dllcache\msadco.dll.new в <SYSTEM32>\dllcache\msadco.dll
%CommonProgramFiles%\System\msadc\msadco.dll.new в %CommonProgramFiles%\System\msadc\msadco.dll

Другое:

Ищет следующие окна: