Trojan.PWS.Legmir.6266

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\KailleraServer] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\kailleraServerJK] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\kaillera\instsrv.exe' KailleraServer <SYSTEM32>\kaillera\srvany.exe
'<SYSTEM32>\kaillera\instsrv.exe' kailleraServerJK <SYSTEM32>\kaillera\srvany.exe

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\kaillera\netstopKailleraServerJK.bat
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\KailleraServerJK\Parameters" /v "Application" /t reg_sz /d "<SYSTEM32>\kaillera\KailleraServerJK.exe" /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\KailleraServer\Parameters" /v "Application" /t reg_sz /d "<SYSTEM32>\kaillera\kaillera.exe" /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\KailleraServerJK" /v "Description" /t reg_sz /d "╝р┐╪╜╓╗·╖■╬ё╜°│╠" /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\KailleraServer" /v "Description" /t reg_sz /d "╜╓╗·╖■╬ё" /f
'<SYSTEM32>\attrib.exe' +H +S <SYSTEM32>\kaillera\KailleraServerJK.exe
'<SYSTEM32>\sc.exe' config KailleraServerJK start= demand
'<SYSTEM32>\attrib.exe' +H +S <SYSTEM32>\kaillera\srvany.exe
'<SYSTEM32>\sc.exe' config KailleraServer start= demand
'<SYSTEM32>\attrib.exe' +H +S <SYSTEM32>\kaillera\instsrv.exe
'<SYSTEM32>\attrib.exe' +H +S <SYSTEM32>\kaillera\Configserver.cfg
'<SYSTEM32>\attrib.exe' +H +S <SYSTEM32>\kaillera\kaillera.exe
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\KailleraServer\Parameters" /v "AppDirectory" /t reg_sz /d "<SYSTEM32>\kaillera" /f
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\kaillera\KailleraServerJKdemand.bat
'<SYSTEM32>\net1.exe' stop KailleraServerJK
'<SYSTEM32>\net1.exe' stop KailleraServer
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\kaillera\kailleraServerJK.bat
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\kaillera\systemsever.bat
'<SYSTEM32>\taskkill.exe' /f /im srvany.exe
'<SYSTEM32>\net.exe' stop KailleraServerJK
'<SYSTEM32>\net.exe' stop KailleraServer
'<SYSTEM32>\taskkill.exe' /f /im instsrv.exe
'<SYSTEM32>\taskkill.exe' /f /im kaillera.exe
'<SYSTEM32>\taskkill.exe' /f /im KailleraServerJK.exe
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\kaillera\netstopKailleraServer.bat
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\kaillera\KailleraServerdemand.bat
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\KailleraServerJK\Parameters" /v "AppDirectory" /t reg_sz /d "<SYSTEM32>\kaillera" /f