Trojan.KillProc.22548

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\its] 'CLSID' = '{9D148291-B9C8-11D0-A4CC-0000F80149F6}'
[<HKLM>\SOFTWARE\Classes\chm.file\shell\open\command] '' = '"%WINDIR%\hh.exe" %1'
[<HKLM>\SOFTWARE\Classes\CertificateStoreFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenSTR %1'
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\ms-its] 'CLSID' = '{9D148291-B9C8-11D0-A4CC-0000F80149F6}'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet] 'DllName' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\crypt32chain] 'DllName' = ''
[<HKLM>\SOFTWARE\Classes\PROTOCOLS\Handler\mhtml] 'CLSID' = '{05300401-BCBC-11d0-85E3-00C04FD85AB4}'
[<HKLM>\SOFTWARE\Classes\P7SFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenPKCS7 %1'
[<HKLM>\SOFTWARE\Classes\CATFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCAT %1'
[<HKLM>\SOFTWARE\Classes\CERFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCER %1'
[<HKLM>\SOFTWARE\Classes\ChannelFile\Shell\Open\Command] '' = 'explorer /root,{f39a0dc0-9cc8-11d0-a599-00c04fd64433},%L'
[<HKLM>\SOFTWARE\Classes\STLFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCTL %1'
[<HKLM>\SOFTWARE\Classes\SPCFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenPKCS7 %1'
[<HKLM>\SOFTWARE\Classes\P7RFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenP7R %1'
[<HKLM>\SOFTWARE\Classes\CRLFile\shell\open\command] '' = 'rundll32.exe cryptext.dll,CryptExtOpenCRL %1'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\BITS] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Запускает на исполнение:

<SYSTEM32>\regsvr32.exe dxtrans.dll /s
<SYSTEM32>\regsvr32.exe dxtmsft.dll /s
<SYSTEM32>\regsvr32.exe FPWPP.DLL /s
<SYSTEM32>\regsvr32.exe gpkcsp.dll /s
<SYSTEM32>\regsvr32.exe FTPWPP.DLL /s
<SYSTEM32>\regsvr32.exe Daxctle.ocx /s
<SYSTEM32>\regsvr32.exe datime.dll /s
<SYSTEM32>\regsvr32.exe dispex.dll /s
<SYSTEM32>\regsvr32.exe dxmasf.dll /s
<SYSTEM32>\regsvr32.exe dssenh.dll /s
<SYSTEM32>\regsvr32.exe imgutil.dll /s
<SYSTEM32>\regsvr32.exe ils.dll /s
<SYSTEM32>\regsvr32.exe inetcfg.dll /s
<SYSTEM32>\regsvr32.exe initpki.dll /s
<SYSTEM32>\regsvr32.exe inetcomm.dll /s
<SYSTEM32>\regsvr32.exe hlink.dll /s
<SYSTEM32>\regsvr32.exe hhctrl.ocx /s
<SYSTEM32>\regsvr32.exe icmfilter.dll /s
<SYSTEM32>\regsvr32.exe iesetup.dll /s
<SYSTEM32>\regsvr32.exe iepeers.dll /s
<SYSTEM32>\regsvr32.exe danim.dll /s
<SYSTEM32>\taskkill.exe /f /t /im DUC.exe
<SYSTEM32>\net1.exe stop BITS
%WINDIR%\regedit.exe /s bits.reg
<SYSTEM32>\regsvr32.exe acelpdec.ax /s
<SYSTEM32>\reg.exe add HKLM\SYSTEM\CurrentControlSet\Control\BackupRestore\FilesNotToBackup
<SYSTEM32>\wscript.exe Waiting.vbs
<SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\SO_Virus_Repair_v4.bat" "
<SYSTEM32>\net.exe stop wuauserv
<SYSTEM32>\net.exe stop BITS
<SYSTEM32>\net1.exe stop wuauserv
<SYSTEM32>\regsvr32.exe corpol.dll /s
<SYSTEM32>\regsvr32.exe comcat.dll /s
<SYSTEM32>\regsvr32.exe CRSWPP.DLL /s
<SYSTEM32>\regsvr32.exe cryptext.dll /s
<SYSTEM32>\regsvr32.exe cryptdlg.dll /s
<SYSTEM32>\regsvr32.exe asctrls.ocx /s
<SYSTEM32>\regsvr32.exe actxprxy.dll /s
<SYSTEM32>\regsvr32.exe ATL.DLL /s
<SYSTEM32>\regsvr32.exe cdfview.dll /s
<SYSTEM32>\regsvr32.exe browseui.dll /s