HackTool.Win64.AutoKMS.LNS

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\OutofProcReport3298426.txt
• {HackTool File Path}\Configure.xml
• {HackTool File Path}\setup.exe
• {HackTool File Path}\Uninstall.xml
• {HackTool File Path}\x64\cleanospp.exe
• {HackTool File Path}\x64\msvcr100.dll
• {HackTool File Path}\x86\cleanospp.exe
• {HackTool File Path}\x86\msvcr100.dll

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• "%System%\reg.exe" add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings" /v Enabled /t REG_DWORD /d 1 /f
• "%System%\cmd.exe" /D /c files.dat -y -pkmsauto
• files.dat -y -pkmsauto
• "powershell" -command "& { (New-Object Net.WebClient).DownloadFile('http://{BLOCKED}dn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/Office/Data/v32.cab ', '%User Temp%\over675344\v32.cab') }"

Erstellt die folgenden Ordner:

• %User Temp%\over{random numbers}
• {HackTool File Path}\x64
• {HackTool File Path}\x86

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)