Trojan.KillFiles.12434

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<Текущая директория>\vsstools\dosdev.exe' B: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1
'<Текущая директория>\vsstools\dosdev.exe' /D B:
'<Текущая директория>\vsstools\32\xp\vscsc.exe' -ws
'<Текущая директория>\vsstools\32\xp\vscsc.exe' -wx="wmi writer" -exec="<Полный путь к вирусу>" C:

Запускает на исполнение:

'<SYSTEM32>\xcopy.exe' /y /h "B:\WINDOWS\system32\config\default" "C:\Support\RegBackups\09-13-2013 02.13 PM"
'<SYSTEM32>\xcopy.exe' /y /h "B:\WINDOWS\system32\config\security" "C:\Support\RegBackups\09-13-2013 02.13 PM"
'<SYSTEM32>\xcopy.exe' /y /h "B:\WINDOWS\system32\config\sam" "C:\Support\RegBackups\09-13-2013 02.13 PM"
'<SYSTEM32>\attrib.exe' -a -r -s -h "C:\Support\RegBackups\09-13-2013 02.13 PM\%USERNAME%\*.*"
'<SYSTEM32>\xcopy.exe' /y /h "B:\Documents and Settings\%USERNAME%\Local Settings\Application Data\Microsoft\Windows\usrclass.dat" "C:\Support\RegBackups\09-13-2013 02.13 PM\%USERNAME%"
'<SYSTEM32>\xcopy.exe' /y /h "B:\Documents and Settings\%USERNAME%\ntuser.dat" "C:\Support\RegBackups\09-13-2013 02.13 PM\%USERNAME%"
'<SYSTEM32>\dllhost.exe' /Processid:{02D4B3F1-FD88-11D1-960D-00805FC79235}
'<SYSTEM32>\dllhost.exe' /Processid:{D7BA884D-10F4-4D2C-AC14-F944AE1B33CB}
'<SYSTEM32>\vssvc.exe'
'<SYSTEM32>\xcopy.exe' /y /h "B:\WINDOWS\system32\config\software" "C:\Support\RegBackups\09-13-2013 02.13 PM"
'<SYSTEM32>\xcopy.exe' /y /h "B:\WINDOWS\system32\config\system" "C:\Support\RegBackups\09-13-2013 02.13 PM"
'<SYSTEM32>\msdtc.exe'

Изменения в файловой системе:

Создает следующие файлы:

C:\Support\RegBackups\RegRestore.exe
C:\Support\RegBackups\README.txt
C:\Support\RegBackups\msvbvm60.dll
%WINDIR%\repair\Backup\BootableSystemState\Registry\SAM
%WINDIR%\repair\Backup\ServiceState\EventLogs\SysEvent.Evt
%WINDIR%\repair\Backup\BootableSystemState\Registry\system
%WINDIR%\repair\Backup\BootableSystemState\Registry\default
C:\Support\RegBackups\09-13-2013 02.13 PM\system
%WINDIR%\RegRestore
C:\Support\RegBackups\09-13-2013 02.13 PM\%USERNAME%\NTUSER.DAT
C:\Support\RegBackups\09-13-2013 02.13 PM\%USERNAME%\UsrClass.dat
C:\Support\RegBackups\09-13-2013 02.13 PM\default
C:\Support\RegBackups\09-13-2013 02.13 PM\software
C:\Support\RegBackups\09-13-2013 02.13 PM\SAM
C:\Support\RegBackups\09-13-2013 02.13 PM\SECURITY
<Текущая директория>\vsstools\32\xp\vscsc.exe
<Текущая директория>\vsstools\64\vscsc.exe
<Текущая директория>\vsstools\dosdev.exe
<Текущая директория>\vsstools\32\vista-plus\vscsc.exe
<Текущая директория>\bin.zip
<SYSTEM32>\zlib.dll
<Текущая директория>\vsstools\32\2003\vscsc.exe
%WINDIR%\Registration\{02D4B3F1-FD88-11D1-960D-00805FC79235}.{F99709C9-5D9D-45E1-8BD1-EC8B317F8EE2}.crmlog
%WINDIR%\repair\Backup\BootableSystemState\Registry\software
%WINDIR%\repair\Backup\ServiceState\EventLogs\AppEvent.Evt
%WINDIR%\repair\Backup\ServiceState\EventLogs\SecEvent.Evt
%WINDIR%\repair\Backup\BootableSystemState\Registry\SECURITY
%WINDIR%\repair\Backup\ServiceState\ConfigDirectory\TempKey.LOG
%WINDIR%\repair\Backup\BootableSystemState\ComRegistrationDatabase\ComRegDb.bak
%WINDIR%\repair\Backup\ServiceState\ConfigDirectory\userdiff

Удаляет следующие файлы:

%WINDIR%\repair\Backup\ServiceState\ConfigDirectory\TempKey.LOG
%WINDIR%\repair\Backup\ServiceState\EventLogs\SysEvent.Evt
%WINDIR%\repair\Backup\ServiceState\ConfigDirectory\userdiff
%WINDIR%\repair\Backup\ServiceState\ConfigDirectory\userdiff.LOG
%WINDIR%\repair\Backup\BootableSystemState\ComRegistrationDatabase\ComRegDb.bak
%WINDIR%\Registration\{02D4B3F1-FD88-11D1-960D-00805FC79235}.{BF4C4D5C-6924-41E8-9BF1-DCC37DF6F31D}.crmlog
<Текущая директория>\bin.zip
%WINDIR%\Registration\R000000000007.clb
%WINDIR%\repair\Backup\ServiceState\EventLogs\SecEvent.Evt
%WINDIR%\repair\Backup\ServiceState\EventLogs\AppEvent.Evt