Trojan.KillProc2.20267

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует главную загрузочную запись (MBR).

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im explorer.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\2039.bat
<Текущая директория>\614365.txt
<Текущая директория>\99822.bat
<Текущая директория>\12401.txt
<Текущая директория>\20914.bat
<PATH_SAMPLE>0.exe
<Текущая директория>\027728.txt
<Текущая директория>\0.bat
<PATH_SAMPLE>6.exe
<Текущая директория>\615536.txt
<Текущая директория>\32106.bat
<Текущая директория>\158600.bat
<Текущая директория>\46754.txt
<PATH_SAMPLE>4.exe
<Текущая директория>\49036.txt
<Текущая директория>\27980.bat
<PATH_SAMPLE>8.exe
<Текущая директория>\830024.txt
<Текущая директория>\243400.bat
<Текущая директория>\130342.txt
<Текущая директория>\22864.bat
<PATH_SAMPLE>1.exe
<Текущая директория>\130864.txt
<Текущая директория>\19592.bat
<Текущая директория>\524607.txt

Сетевая активность

TCP

Другие

'34.##9.100.209':443

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<PATH_SAMPLE>1.exe' 1684886076
'<PATH_SAMPLE>8.exe' 1684886076
'<PATH_SAMPLE>4.exe' 1684886076
'<PATH_SAMPLE>6.exe' 1684886076
'<PATH_SAMPLE>0.exe' 1684886076

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /protect 1684886076
'<SYSTEM32>\mountvol.exe' c: /d
'<SYSTEM32>\cmd.exe' /c Cacls <SYSTEM32>\taskmgr.exe /t /e /c /guser:F
'<SYSTEM32>\cmd.exe' /c mountvol c: /d
'<SYSTEM32>\takeown.exe' /f <SYSTEM32>\taskmgr.exe
'<SYSTEM32>\cmd.exe' /c del C:\users /r /f
'<SYSTEM32>\cmd.exe' /c takeown /f <SYSTEM32>\taskmgr.exe
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+12401.txt <PATH_SAMPLE>1.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>0.exe 1684886076
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+027728.txt <PATH_SAMPLE>0.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe 1684886076
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+615536.txt <PATH_SAMPLE>6.exe
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+46754.txt <PATH_SAMPLE>4.exe
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /autoup 1684886076
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /killMBR 1684886076
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /KillHardDisk 1684886076
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /killwindows 1684886076
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>4.exe 1684886076
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+49036.txt <PATH_SAMPLE>4.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe 1684886076
'<SYSTEM32>\cmd.exe' /c taskkill /f /im explorer.exe
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+830024.txt <PATH_SAMPLE>8.exe
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+130342.txt <PATH_SAMPLE>1.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>1.exe 1684886076
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+130864.txt <PATH_SAMPLE>1.exe
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /save 1684886076
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+614365.txt <PATH_SAMPLE>6.exe
'<SYSTEM32>\cacls.exe' <SYSTEM32>\taskmgr.exe /t /e /c /guser:F