Trojan.KillFiles2.1585

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im armsvc.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im AGSService.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im AGMService.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\acrobat temp\acrotray.exe
%TEMP%\acrobat temp\acrobat.dll
%TEMP%\acrobat temp\acrodistdll.dll

Удаляет следующие файлы

<SYSTEM32>\tasks\adobe acrobat update task
%TEMP%\acrobat temp\acrobat.dll
%TEMP%\acrobat temp\acrodistdll.dll
%TEMP%\acrobat temp\acrotray.exe

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c REN "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Adobe Acrobat.lnk" "Adobe Acrobat 64-bit.lnk"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c REN "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Adobe Acrobat Distiller.lnk" "Adobe Acrobat Distiller 64-bit.lnk"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /f /tn "AdobeGCInvoker-1.0"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /f /tn "Adobe Acrobat Update Task"' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /f /im armsvc.exe' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /f /im AGSService.exe' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /f /im AGMService.exe' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' config AdobeARMservice start= disabled' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' config AGSService start= disabled' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' config AGMService start= disabled' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (REN "%j\acrodistdll.dll" "acrodistdll.dll.bak")' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (COPY /y "%TEMP%\Acrobat Temp\acrodistdll.dll" "%j\acrodistdll.dll")' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (REN "%j\acrotray.exe" "acrotray.exe.bak")' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (COPY /y "%TEMP%\Acrobat Temp\acrotray.exe" "%j\acrotray.exe")' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (REN "%j\Acrobat.dll" "Acrobat.dll.bak")' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (COPY /y "%TEMP%\Acrobat Temp\Acrobat.dll" "%j\Acrobat.dll")' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c REN "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Adobe Acrobat.lnk" "Adobe Acrobat 64-bit.lnk"
'%WINDIR%\syswow64\cmd.exe' /c REN "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Adobe Acrobat Distiller.lnk" "Adobe Acrobat Distiller 64-bit.lnk"
'%WINDIR%\syswow64\schtasks.exe' /delete /f /tn "AdobeGCInvoker-1.0"
'%WINDIR%\syswow64\schtasks.exe' /delete /f /tn "Adobe Acrobat Update Task"
'%WINDIR%\syswow64\sc.exe' config AdobeARMservice start= disabled
'%WINDIR%\syswow64\sc.exe' config AGSService start= disabled
'%WINDIR%\syswow64\sc.exe' config AGMService start= disabled
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (REN "%j\acrodistdll.dll" "acrodistdll.dll.bak")
'%WINDIR%\syswow64\cmd.exe' /c REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath
'%WINDIR%\syswow64\reg.exe' QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (COPY /y "%TEMP%\Acrobat Temp\acrodistdll.dll" "%j\acrodistdll.dll")
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (REN "%j\acrotray.exe" "acrotray.exe.bak")
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (COPY /y "%TEMP%\Acrobat Temp\acrotray.exe" "%j\acrotray.exe")
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (REN "%j\Acrobat.dll" "Acrobat.dll.bak")
'%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (COPY /y "%TEMP%\Acrobat Temp\Acrobat.dll" "%j\Acrobat.dll")