Trojan.KillProc2.20270

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует главную загрузочную запись (MBR).

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im explorer.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\19584.bat
<Текущая директория>\130342.txt
<Текущая директория>\22864.bat
<PATH_SAMPLE>6.exe
<Текущая директория>\614453.txt
<Текущая директория>\34200.bat
<PATH_SAMPLE>2.exe
<Текущая директория>\22673.txt
<Текущая директория>\58262.bat
<Текущая директория>\714073.txt
<Текущая директория>\57862.bat
<PATH_SAMPLE>5.exe
<Текущая директория>\531514.txt
<Текущая директория>\130095.bat
<Текущая директория>\714595.txt
<Текущая директория>\141470.bat
<PATH_SAMPLE>3.exe
<Текущая директория>\33847.txt
<Текущая директория>\7038.bat
<PATH_SAMPLE>1.exe
<Текущая директория>\111880.txt
<Текущая директория>\10456.bat
<PATH_SAMPLE>7.exe
<Текущая директория>\715641.txt
<Текущая директория>\79303.bat
<PATH_SAMPLE>9.exe
<Текущая директория>\921088.txt
<Текущая директория>\220950.bat
<PATH_SAMPLE>8.exe
<Текущая директория>\816687.txt
<Текущая директория>\27980.bat
<Текущая директория>\49036.txt

Сетевая активность

TCP

Другие

'34.##0.144.191':443
'34.##7.121.53':443

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<PATH_SAMPLE>8.exe' 1684886033
'<PATH_SAMPLE>9.exe' /protect 1684886033
'<PATH_SAMPLE>8.exe' /protect 1684886033
'<PATH_SAMPLE>9.exe' /killMBR 1684886033
'<PATH_SAMPLE>8.exe' /killMBR 1684886033
'<PATH_SAMPLE>9.exe' /KillHardDisk 1684886033
'<PATH_SAMPLE>8.exe' /KillHardDisk 1684886033
'<PATH_SAMPLE>9.exe' /killwindows 1684886033
'<PATH_SAMPLE>8.exe' /killwindows 1684886033
'<PATH_SAMPLE>6.exe' 1684886033
'<PATH_SAMPLE>2.exe' 1684886033
'<PATH_SAMPLE>5.exe' 1684886033
'<PATH_SAMPLE>3.exe' 1684886033
'<PATH_SAMPLE>1.exe' 1684886033
'<PATH_SAMPLE>7.exe' 1684886033
'<PATH_SAMPLE>9.exe' 1684886033
'<PATH_SAMPLE>8.exe' /autoup 1684886033
'<PATH_SAMPLE>9.exe' /autoup 1684886033

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /protect 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe /killwindows 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>9.exe /killwindows 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe /KillHardDisk 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>9.exe /KillHardDisk 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe /killMBR 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>9.exe /killMBR 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe /protect 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe 1684886033
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /autoup 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>9.exe /protect 1684886033
'<SYSTEM32>\cmd.exe' /c takeown /f <SYSTEM32>\taskmgr.exe
'<SYSTEM32>\cmd.exe' /c del C:\users /r /f
'<SYSTEM32>\takeown.exe' /f <SYSTEM32>\taskmgr.exe
'<SYSTEM32>\cmd.exe' /c mountvol c: /d
'<SYSTEM32>\cmd.exe' /c Cacls <SYSTEM32>\taskmgr.exe /t /e /c /guser:F
'<SYSTEM32>\mountvol.exe' c: /d
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe /killwindows 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe /autoup 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>9.exe /autoup 1684886033
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /killMBR 1684886033
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+614453.txt <PATH_SAMPLE>6.exe
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /KillHardDisk 1684886033
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+816687.txt <PATH_SAMPLE>8.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe 1684886033
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+921088.txt <PATH_SAMPLE>9.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>9.exe 1684886033
'<SYSTEM32>\cmd.exe' /c taskkill /f /im explorer.exe
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+715641.txt <PATH_SAMPLE>7.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe 1684886033
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+111880.txt <PATH_SAMPLE>1.exe
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /save 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>1.exe 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>3.exe 1684886033
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+714595.txt <PATH_SAMPLE>7.exe
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+531514.txt <PATH_SAMPLE>5.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>5.exe 1684886033
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+714073.txt <PATH_SAMPLE>7.exe
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+22673.txt <PATH_SAMPLE>2.exe
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /killwindows 1684886033
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>2.exe 1684886033
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+33847.txt <PATH_SAMPLE>3.exe
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+130342.txt <PATH_SAMPLE>1.exe
'<SYSTEM32>\cacls.exe' <SYSTEM32>\taskmgr.exe /t /e /c /guser:F