Trojan.KillProc.32415

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Imxaepheuhudek' = '%APPDATA%\Roaming\Ixicsuul\toawy.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Imxaepheuhudek' = '%APPDATA%\Roaming\Ixicsuul\toawy.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Imxaepheuhudek' = '"%APPDATA%\Roaming\Ixicsuul\toawy.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Imxaepheuhudek' = '"%APPDATA%\Roaming\Ixicsuul\toawy.exe"'

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\Security Center Update - 764385177.job

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\services\SecurityCenterServer764385177] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Roaming\Ixicsuul\toawy.exe' -child
'%APPDATA%\Roaming\Ixicsuul\toawy.exe'
'<SYSTEM32>\uzudt.exe' -service "%APPDATA%\Roaming\Ixicsuul\toawy.exe"

Внедряет код в

следующие системные процессы:

%WINDIR%\Explorer.EXE

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\F0DF9183763B7AB51E81A0A7[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\13988D2DC93F630DA185B91F[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\5026AFF06AA4EB05021E3117[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\67D105ADB7B50624DF0FDC36[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\F959E4D2F395E6439B2F3C51[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\FFDDAF5A7AAA802F12105A3D[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\857366BB9AF2E072F2483A60[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\6CFF8F3E28BAB94140006353[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\4816B53A76CDB6031E776C11[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\D6D72CAC0D840370653ED962[1].htm
C:\ProgramData\Microsoft\Crypto\RSA\S-1-5-18\d42cc0c3858a58db2db37658219e6400_fdaad129-04df-4089-bb80-174ce725f721
<SYSTEM32>\Tasks\Security Center Update - 764385177
%APPDATA%\Roaming\Ixicsuul\toawy.exe
<SYSTEM32>\Microsoft\Protect\S-1-5-18\User\14a7d2b7-74e6-4150-94fe-679f5f2c2a6f
<SYSTEM32>\uzudt.exe
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\0E3B1D43F9D9C1AE91631BBC[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\8B42383F8EADC707E6171D15[1].htm
%TEMP%\tmpea741898.bat
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\1750bc167fea66048b75bb5c[1]

Удаляет следующие файлы:

<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\6CFF8F3E28BAB94140006353[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\F959E4D2F395E6439B2F3C51[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\13988D2DC93F630DA185B91F[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\857366BB9AF2E072F2483A60[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\FFDDAF5A7AAA802F12105A3D[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\4816B53A76CDB6031E776C11[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\D6D72CAC0D840370653ED962[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\8B42383F8EADC707E6171D15[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\0E3B1D43F9D9C1AE91631BBC[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\F0DF9183763B7AB51E81A0A7[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\67D105ADB7B50624DF0FDC36[1].htm
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\5026AFF06AA4EB05021E3117[1].htm