Trojan.KillFiles.13784

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\.pif] '' = 'reg'
[<HKLM>\SOFTWARE\Classes\.exe] '' = 'reg'
[<HKLM>\SOFTWARE\Classes\.com] '' = 'reg'
[<HKLM>\SOFTWARE\Classes\.cmd] '' = 'reg'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' -r -s -h ipv6.exe
'<SYSTEM32>\attrib.exe' -r -s -h ipsec6.exe
'<SYSTEM32>\attrib.exe' -r -s -h ipconfig.exe
'<SYSTEM32>\attrib.exe' -r -s -h logoff.exe
'<SYSTEM32>\attrib.exe' -r -s -h krnl386.exe
'<SYSTEM32>\attrib.exe' -r -s -h ipxroute.exe
'<SYSTEM32>\attrib.exe' -r -s -h dfrgntfs.exe
'<SYSTEM32>\attrib.exe' -r -s -h dfrgfat.exe
'<SYSTEM32>\attrib.exe' -r -s -h dfrg.msc
'<SYSTEM32>\attrib.exe' -r -s -h drwtsn32.exe
'<SYSTEM32>\attrib.exe' -r -s -h drwatson.exe
'<SYSTEM32>\attrib.exe' -r -s -h dmadmin.exe
'<SYSTEM32>\attrib.exe' -r -s -h lsass.exe
'<SYSTEM32>\attrib.exe' -r -s -h ws2_32.dll
'<SYSTEM32>\attrib.exe' -r -s -h mswsock.dll
'<SYSTEM32>\attrib.exe' -r -s -h user.exe
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\selfdel0.bat" "
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL <SYSTEM32>\screensaver.vbs
'<SYSTEM32>\attrib.exe' -r -s -h ntdll.dll
'<SYSTEM32>\attrib.exe' -r -s -h netstat.exe
'<SYSTEM32>\attrib.exe' -r -s -h MRT.exe
'<SYSTEM32>\attrib.exe' -r -s -h cmd.exe
'<SYSTEM32>\attrib.exe' -r -s -h systray.exe
'<SYSTEM32>\attrib.exe' -r -s -h syskey.exe
'<SYSTEM32>\attrib.exe' -r -s -h ntoskrnl.exe
'<SYSTEM32>\attrib.exe' -r -s -h cmdl32.exe
'<SYSTEM32>\attrib.exe' -r -s -h osuninst.dll
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoClose /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableCMD /t REG_DWORD /d "1" /f
'<SYSTEM32>\attrib.exe' -r -s -h cmstp.exe
'<SYSTEM32>\attrib.exe' -r -s -h SFC.EXE
'<SYSTEM32>\attrib.exe' -r -s -h sfcfiles.dll
'<SYSTEM32>\attrib.exe' -r -s -h CONFIG.SYS
'<SYSTEM32>\attrib.exe' -r -s -h UserInfo.exe
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\batchfile.bat" "
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\control\safeboot\network" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\currentcontrolset\control\safeboot\minimal" /f
'<SYSTEM32>\attrib.exe' -r -s -h taskmgr.exe
'<SYSTEM32>\attrib.exe' -r -s -h arp.exe
'<SYSTEM32>\attrib.exe' -r -s -h ahui.exe
'<SYSTEM32>\attrib.exe' -r -s -h accwiz.exe
'<SYSTEM32>\attrib.exe' -r -s -h cleanmgr.exe
'<SYSTEM32>\attrib.exe' -r -s -h bootvrfy.exe
'<SYSTEM32>\attrib.exe' -r -s -h bootok.exe
'<SYSTEM32>\attrib.exe' -r -s -h wupdmgr.exe
'<SYSTEM32>\attrib.exe' -r -s -h wuauclt.exe
'<SYSTEM32>\attrib.exe' -r -s -h wscript.exe
'<SYSTEM32>\attrib.exe' -r -s -h wuauclt1.exe
'<SYSTEM32>\attrib.exe' -r -s -h ntbackup.exe
'<SYSTEM32>\attrib.exe' -r -s -h winlogon.exe