Trojan.AVKill.30951

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Microsoftmanager] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\Application Data\BaiDuhi.exe' -b 1388
'%ALLUSERSPROFILE%\Application Data\BaiDuhi.exe' -a
'%ALLUSERSPROFILE%\Application Data\baiducamo.exe'

Запускает на исполнение:

'<SYSTEM32>\findstr.exe' /i "360tray.exe" BaiDuhi6.txt
'<SYSTEM32>\attrib.exe' <Служебный элемент>
'<SYSTEM32>\xcopy.exe' Micsofoffice1.exe "Microsoft\Micsofoffice1.exe" /q /h /r /y
'<SYSTEM32>\cscript.exe' //nologo 360.vbs
'<SYSTEM32>\taskkill.exe' /f /im 360tray.exe
'<SYSTEM32>\findstr.exe' /i "360tray.exe safeboxTray.exe" BaiDuhi5.txt
'<SYSTEM32>\sc.exe' description Microsoftmanager "╬к╣▄└э║═╬м╗д╘┌╝╞╦у╗·─┌NTFS┤┼┼╠╬─╝■╓о╝ф╡─╧╡═│╩¤╛▌┐т,╧√╧в╢╙┴╨,╬─╝■╧╡═│╡╚╫╩╘┤╣▄└э╞ў╡─╩┬╬ё╠с╣й╓з│╓.╜╧╡═░ц▒╛╡─▓┘╫ў╧╡═│╘Є▓╗╗с╖в╔·╒т╨й╩┬╬ё.╚ч╣√╜√╙├┤╦╖■╬ё,╚╬║╬╥└└╡┤╦╖■╬ё╡─╞ф╦√╖■╬ё╜л╬▐╖и╞Ї╢п."
'<SYSTEM32>\attrib.exe' +s +h "Microsoft\Micsofoffice2.rar"
'<SYSTEM32>\attrib.exe' +s +h "Microsoft\Micsofoffice1.exe"
'<SYSTEM32>\xcopy.exe' Micsofoffice2.rar "Microsoft\Micsofoffice2.rar" /q /h /r /y
'<SYSTEM32>\sc.exe' create Microsoftmanager binPath= "%ALLUSERSPROFILE%\Application Data\Microsoft\Micsofoffice1.exe" Start= auto displayname= "Microsoftnetwork gervice" type= own
'<SYSTEM32>\sc.exe' config Microsoftmanager start= auto
'<SYSTEM32>\taskkill.exe' /f /im ekrn.exe
'<SYSTEM32>\attrib.exe' +s +h +r "%ALLUSERSPROFILE%\Application Data\baiducomo.bat"
'<SYSTEM32>\attrib.exe' +s +h <Имя диска съемного носителя>:\Windows╟¤╢п│╠╨Є▒╕╖▌╬─╡╡╬─╝■.scr
'<SYSTEM32>\attrib.exe' +s +h "%ALLUSERSPROFILE%\Application Data"
'<SYSTEM32>\cmd.exe' /c ""%ALLUSERSPROFILE%\Application Data\baiducomo.bat""
'<SYSTEM32>\xcopy.exe' <SYSTEM32>\a.exe <Имя диска съемного носителя>:\Windows╟¤╢п│╠╨Є▒╕╖▌╬─╡╡╬─╝■.scr /q /h /r /y
'<SYSTEM32>\xcopy.exe' *date.SCR <Имя диска съемного носителя>:\Windows╟¤╢п│╠╨Є▒╕╖▌╬─╡╡╬─╝■.scr /q /h /r /y
'<SYSTEM32>\sc.exe' delete knlps
'<SYSTEM32>\findstr.exe' /i "CCenter.exe services.exe 360tray.exe KVMonXP.kxp RSTray.exe RfwMain.exe" pid1.txt
'<SYSTEM32>\sc.exe' config ekrn start= disabled
'<SYSTEM32>\attrib.exe' +s +h "%CommonProgramFiles%\Microsoft Shared\Web Folders"
'<SYSTEM32>\tasklist.exe'
'<SYSTEM32>\findstr.exe' /i "ekrn.exe safeboxTray.exe nod32krn.exe kwatch.exe shstat.exe ashserv.exe" pid1.txt