Trojan.Inject1.37006

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'system' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'userinit' = '<SYSTEM32>\userinit.exe'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' -a -r -s -h MyData
'<SYSTEM32>\attrib.exe' -a -r -s -h MyPhoto
'<SYSTEM32>\attrib.exe' -a -r -s -h Website
'<SYSTEM32>\attrib.exe' -a -r -s -h Design
'<SYSTEM32>\attrib.exe' -a -r -s -h Software
'<SYSTEM32>\attrib.exe' -a -r -s -h Exam
'<SYSTEM32>\attrib.exe' -a -r -s -h MyPicture
'<SYSTEM32>\attrib.exe' -a -r -s -h Installer
'<SYSTEM32>\attrib.exe' -a -r -s -h Font
'<SYSTEM32>\attrib.exe' -a -r -s -h Save
'<SYSTEM32>\attrib.exe' -a -r -s -h Data
'<SYSTEM32>\attrib.exe' -a -r -s -h Audio
'<SYSTEM32>\attrib.exe' -a -r -s -h Camea
'<SYSTEM32>\attrib.exe' -a -r -s -h Download
'<SYSTEM32>\attrib.exe' -a -r -s -h Book
'<SYSTEM32>\attrib.exe' -a -r -s -h File
'<SYSTEM32>\attrib.exe' -a -r -s -h NewFolder*
'<SYSTEM32>\attrib.exe' -a -r -s -h DVD
'<SYSTEM32>\reg.exe' -a -r -s -h Installer
'<SYSTEM32>\reg.exe' /pid=3156
'<SYSTEM32>\attrib.exe' /pid=2936
'<SYSTEM32>\taskkill.exe' -a -r -s -h Book
'<SYSTEM32>\attrib.exe' /pid=2568
'<SYSTEM32>\attrib.exe' /pid=248
'<SYSTEM32>\reg.exe' /pid=1076
'<SYSTEM32>\reg.exe' -a -r -s -h Exam
'<SYSTEM32>\attrib.exe' /pid=2964
'<SYSTEM32>\attrib.exe' -a -r -s -h Memory
'<SYSTEM32>\taskkill.exe' -a -r -s -h Picture
'<SYSTEM32>\attrib.exe' -a -r -s -h VCD
'<SYSTEM32>\attrib.exe' -a -r -s -h Record
'<SYSTEM32>\reg.exe' -a -r -s -h NewFolder*
'<SYSTEM32>\attrib.exe' /pid=2896
'<SYSTEM32>\taskkill.exe' /pid=2984
'<SYSTEM32>\attrib.exe' /pid=1592
'<SYSTEM32>\attrib.exe' -a -r -s -h Movie
'<SYSTEM32>\attrib.exe' -a -r -s -h "<DRIVERS>\mrxnet.sys"
'<SYSTEM32>\reg.exe' add "hklm\software\microsoft\windows nt\currentversion\winlogon" /v userinit /d "<SYSTEM32>\userinit.exe" /f
'<SYSTEM32>\attrib.exe' -a -r -s -h "%APPDATA%\microsoft\windows\shell.exe"
'<SYSTEM32>\attrib.exe' -a -r -s -h "<DRIVERS>\mrxcls.sys"
'<SYSTEM32>\reg.exe' delete HKCU\Software\Microsoft\Windows\currentVersion\policies\explorer /v "NoFolderOptions" /f
'<SYSTEM32>\reg.exe' delete HKLM\Software\Microsoft\Windows\CurrentVersion\policies\system /v "DisableTaskMgr" /f
'<SYSTEM32>\reg.exe' delete HKCU\Software\Microsoft\Windows\currentVersion\policies\system /v "disableTaskMgr" /f
'<SYSTEM32>\reg.exe' delete HKCU\Software\Microsoft\Windows\currentVersion\policies\system /v "disableRegistryTools" /f
'<SYSTEM32>\attrib.exe' -a -r -s -h "%APPDATA%\svchost.exe"
'<SYSTEM32>\taskkill.exe' /f /fi "session ne 0" /im svchost.exe
'<SYSTEM32>\shutdown.exe' -a
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\USB Virus Clenaer.bat" "
'<SYSTEM32>\taskkill.exe' /f /fi "username ne system" /fi "username ne local service" /fi "username ne network service" /im svchost.exe
'<SYSTEM32>\attrib.exe' -a -r -s -h "%PROGRAM_FILES%\microsoft\WaterMark.exe"
'<SYSTEM32>\attrib.exe' -a -r -s -h "%WINDIR%\temp\*.tmp"
'<SYSTEM32>\msg.exe' * Scanning Virus in USB Drive, Click OK
'<SYSTEM32>\attrib.exe' -a -r -s -h <SYSTEM32>\dmlconf.dat
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v Hidden /t REG_DWORD /d "1" /f
'<SYSTEM32>\attrib.exe' -a -r -s -h Picture
'<SYSTEM32>\attrib.exe' -a -r -s -h Song
'<SYSTEM32>\attrib.exe' -a -r -s -h Image
'<SYSTEM32>\attrib.exe' -a -r -s -h Photo
'<SYSTEM32>\attrib.exe' -a -r -s -h Ebook
'<SYSTEM32>\attrib.exe' -a -r -s -h Video
'<SYSTEM32>\attrib.exe' -a -r -s -h Music
'<SYSTEM32>\attrib.exe' -a -r -s -h MP3
'<SYSTEM32>\attrib.exe' -a -r -s -h DCIM
'<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v system /t reg_sz /d "" /f
'<SYSTEM32>\attrib.exe' -a -r -s -h "copy*shortcut*.lnk"
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v SuperHidden /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v HideFileExt /t REG_DWORD /d "1" /f
'<SYSTEM32>\attrib.exe' -a -r -s -h watermark.exe
'<SYSTEM32>\attrib.exe' -a -r -s -h "~WTR*.tmp"
'<SYSTEM32>\attrib.exe' -a -r -s -h recycler
'<SYSTEM32>\attrib.exe' -a -r -s -h autorun.inf