Trojan.AVKill.30844

Техническая информация

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' -r -a -s -h "%APPDATA%\local\microsoft\windows\history\*"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%APPDATA%\Thunderbird\Profiles\*"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%APPDATA%\Mozilla\Firefox\Profiles"
'<SYSTEM32>\reg.exe' query "HKCU\Software\Microsoft\Terminal Server Client\Default"
'<SYSTEM32>\attrib.exe' -r -a -s -h
'<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
'<SYSTEM32>\attrib.exe' -r -a -s -h "%APPDATA%\opera\Opera"
'<SYSTEM32>\attrib.exe' -r -a -s -h %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\index.dat"
'<SYSTEM32>\attrib.exe' -r -a -s -h %HOMEPATH%\Local Settings\History\History.IE5\index.dat"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\Cookies\index.dat"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%APPDATA%\netscape\NSB\Profiles"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\Favorites\*"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\UserData\index.dat"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\My Documents\thumbs.db"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\My Documents\My Pictures\thumbs.db"
'<SYSTEM32>\reg.exe' query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\Desktop\thumbs.db"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\Documents\thumbs.db"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\Documents\My Pictures\thumbs.db"
'<SYSTEM32>\tree.com' %HOMEPATH%\AppData\Local\Microsoft\Messenger
'<SYSTEM32>\reg.exe' query HKCU\Software\Microsoft\Windows\CurrentVersion\Runonce
'<SYSTEM32>\reg.exe' query HKCU\Software\Microsoft\Windows\CurrentVersion\Run
'<SYSTEM32>\reg.exe' query "HKCU\Software\Microsoft\Terminal Server Client\Server\UsernameHint"
'<SYSTEM32>\attrib.exe' -H -A -S -R "%HOMEPATH%\Recent\*.*"
'<SYSTEM32>\attrib.exe' -H -A -S -R "%APPDATA%\Microsoft\Windows\Recent/*.*"
'<SYSTEM32>\findstr.exe' /c:"media" "%HOMEPATH%\appdata\local\microsoft\media player\lastplayed.wpl"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\AppData\Local\Microsoft\Internet Explorer\Recovery\Last Active\index.dat"
'<SYSTEM32>\net1.exe' group
'<SYSTEM32>\arp.exe' -a
'<SYSTEM32>\tasklist.exe'
'<SYSTEM32>\nbtstat.exe' -n
'<SYSTEM32>\net1.exe' user
'<SYSTEM32>\net1.exe' share
'<SYSTEM32>\ipconfig.exe' /all
'<SYSTEM32>\attrib.exe' +h .\CRNJEUFU
'<SYSTEM32>\attrib.exe' +h ""%TEMP%\1.tmp\USB.bat""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\USB.bat" "
'<SYSTEM32>\net1.exe' localgroup %USERNAME%s
'<SYSTEM32>\getmac.exe'
'<SYSTEM32>\route.exe' print
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\appdata\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\appdata\Local\Microsoft\Windows\History\History.IE5\Low\index.dat"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\appdata\Local\Microsoft\Windows\History\History.IE5\index.dat"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\appdata\Roaming\Microsoft\Internet Explorer\UserData\Low\index.dat"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\appdata\Roaming\Microsoft\Internet Explorer\UserData\index.dat"
'<SYSTEM32>\attrib.exe' -r -a -s -h "appdata\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\index.dat"
'<SYSTEM32>\attrib.exe' -a -r -s -h "%userprofile\Roaming\Microsoft\Windows\Cookies\Low\index.dat"
'<SYSTEM32>\reg.exe' query "HKCU\SOFTWARE\Microsoft\Internet Explorer\AutoComplete"
'<SYSTEM32>\reg.exe' query "HKCU\Software\Microsoft\Internet Explorer\TypedURLs"
'<SYSTEM32>\reg.exe' export HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WZCSVC\Parameters\Interfaces .\CRNJEUFU\wifikey\wifi.reg
'<SYSTEM32>\attrib.exe' -r -a -s -h "%HOMEPATH%\appdata\Roaming\Microsoft\Windows\Cookies\index.dat"
'<SYSTEM32>\attrib.exe' -R -A -S -H "%HOMEPATH%\AppData\Roaming\Microsoft\Windows\Cookies\*"
'<SYSTEM32>\reg.exe' query "HKCU\Software\Microsoft\Internet Explorer\IntelliForms"

Завершает или пытается завершить

следующие пользовательские процессы:

chrome.exe

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\CRNJEUFU\Recently Opened
<Текущая директория>\CRNJEUFU\InternetBrowsers\IExplorer\Radio Station Guide.url
<Текущая директория>\CRNJEUFU\Recycle.Bin\startup_local.bat
<Текущая директория>\CRNJEUFU\Recycle.Bin\network.pcap
<Текущая директория>\CRNJEUFU\InternetBrowsers\IExplorer\MSN.com.url
<Текущая директория>\CRNJEUFU\%USERNAME%.txt
%TEMP%\1.tmp\USB.bat
<Текущая директория>\CRNJEUFU\InternetBrowsers\IExplorer\Desktop.ini
<Текущая директория>\CRNJEUFU\WifiKey\wifi.reg

Удаляет следующие файлы: