Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Запускает на исполнение:
- '<SYSTEM32>\tskill.exe' /a serviceguard.exe
- '<SYSTEM32>\tskill.exe' /a swoff.exe
- '<SYSTEM32>\tskill.exe' /a mstunnel.exe
- '<SYSTEM32>\tskill.exe' /a mtbp.exe
- '<SYSTEM32>\tskill.exe' /a squerycontrol32.exe
- '<SYSTEM32>\tskill.exe' /a precisiontime.exe
- '<SYSTEM32>\tskill.exe' /a msfig.exe
- '<SYSTEM32>\tskill.exe' /a vrmonsvc.exe
- '<SYSTEM32>\tskill.exe' /a vrmonNT.exe
- '<SYSTEM32>\tskill.exe' /a v3impro.exe
- '<SYSTEM32>\tskill.exe' /a fxsvc.exe
- '<SYSTEM32>\tskill.exe' /a clisvc.exe
- '<SYSTEM32>\tskill.exe' /a ccap.exe
- '<SYSTEM32>\tskill.exe' /a mvcc.exe
- '<SYSTEM32>\tskill.exe' /a tachy.exe
- '<SYSTEM32>\tskill.exe' /a lsass12.exe
- '<SYSTEM32>\tskill.exe' /a dwagent.exe
- '<SYSTEM32>\tskill.exe' /a internat.exe
- '<SYSTEM32>\tskill.exe' /a dllsvc.exe
- '<SYSTEM32>\tskill.exe' /a bomsvc32.exe
- '<SYSTEM32>\tskill.exe' /a msnupdate.exe
- '<SYSTEM32>\tskill.exe' /a conime.exe
- '<SYSTEM32>\tskill.exe' /a gmt.exe
- '<SYSTEM32>\tskill.exe' /a vstmgr.exe
- '<SYSTEM32>\tskill.exe' /a firedaemon.exe
- '<SYSTEM32>\tskill.exe' /a lvcoms.exe
- '<SYSTEM32>\tskill.exe' /a iroffer.exe
- '<SYSTEM32>\net1.exe' /pid=2748
- '<SYSTEM32>\tskill.exe' /a a2guard
- '<SYSTEM32>\tskill.exe' /a winmysqladmin.exe
- '<SYSTEM32>\tskill.exe' /a sctsvc.exe
- '<SYSTEM32>\tskill.exe' /a winmgnt.exe
- '<SYSTEM32>\tskill.exe' /a aavshield
- '<SYSTEM32>\tskill.exe' /a airdefense
- '<SYSTEM32>\tskill.exe' /a ALERTSVC
- '<SYSTEM32>\tskill.exe' /a ALMon
- '<SYSTEM32>\tskill.exe' /a AckWin32
- '<SYSTEM32>\tskill.exe' /a ADVCHK
- '<SYSTEM32>\tskill.exe' /a AhnSD
- '<SYSTEM32>\tskill.exe' /a adspider.exe
- '<SYSTEM32>\tskill.exe' /a regsvc.exe
- '<SYSTEM32>\tskill.exe' /a naviagent.exe
- '<SYSTEM32>\tskill.exe' /a ncvscc32.exe
- '<SYSTEM32>\tskill.exe' /a videosd32.exe
- '<SYSTEM32>\tskill.exe' /a msgfixer.exe
- '<SYSTEM32>\tskill.exe' /a hkcmd.exe
- '<SYSTEM32>\tskill.exe' /a winsys9242.exe
- '<SYSTEM32>\tskill.exe' /a turboagent.exe
- '<SYSTEM32>\tskill.exe' /a winmgmt.exe
- '<SYSTEM32>\tskill.exe' /a sqlmngr.exe
- '<SYSTEM32>\tskill.exe' /a llssrv.exe
- '<SYSTEM32>\tskill.exe' /a ipbind.exe
- '<SYSTEM32>\tskill.exe' /a netpiadw.exe
- '<SYSTEM32>\tskill.exe' /a avg*
- '<SYSTEM32>\tskill.exe' /a ash*
- '<SYSTEM32>\tskill.exe' /a ewid*
- '<SYSTEM32>\tskill.exe' /a ESAFE
- '<SYSTEM32>\tskill.exe' /a kav*
- '<SYSTEM32>\tskill.exe' /a def*
- '<SYSTEM32>\tskill.exe' /a guard*
- '<SYSTEM32>\tskill.exe' /a norton*
- '<SYSTEM32>\tskill.exe' /a netsvcs.exe
- '<SYSTEM32>\tskill.exe' /a srvany.exe
- '<SYSTEM32>\tskill.exe' /a ad-*
- '<SYSTEM32>\tskill.exe' /a mcafe*
- '<SYSTEM32>\tskill.exe' /a norton au*
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=disable
- '<SYSTEM32>\tskill.exe' /a kis*
- '<SYSTEM32>\tskill.exe' /a ccapp.exe
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\Savk-Deadly 2.0.bat" "
- '<SYSTEM32>\net.exe' stop Security Center
- '<SYSTEM32>\net1.exe' stop Security Center
- '<SYSTEM32>\tskill.exe' /a alg.exe
- '<SYSTEM32>\tskill.exe' /a anti*
- '<SYSTEM32>\tskill.exe' /a spy*
- '<SYSTEM32>\tskill.exe' /a SAFEWEB
- '<SYSTEM32>\tskill.exe' /a avp.exe
- '<SYSTEM32>\tskill.exe' /a av*
- '<SYSTEM32>\tskill.exe' /a fire*
- '<SYSTEM32>\tskill.exe' /a monsysnt.exe
- '<SYSTEM32>\tskill.exe' /a cisvsc.exe
- '<SYSTEM32>\tskill.exe' /a mdm.exe
- '<SYSTEM32>\tskill.exe' /a winhelp32.exe
- '<SYSTEM32>\tskill.exe' /a sagent2.exe
- '<SYSTEM32>\tskill.exe' /a win32.exe
- '<SYSTEM32>\tskill.exe' /a mcshield.exe
- '<SYSTEM32>\tskill.exe' /a userbatch.exe
- '<SYSTEM32>\tskill.exe' /a navapw32.exe
- '<SYSTEM32>\tskill.exe' /a keyservice.exe
- '<SYSTEM32>\tskill.exe' /a nvsvc32.exe
- '<SYSTEM32>\tskill.exe' /a msdevice.exe
- '<SYSTEM32>\tskill.exe' /a srvmon.exe
- '<SYSTEM32>\tskill.exe' /a stisvc.exe
- '<SYSTEM32>\tskill.exe' /a servudaemon.exe
- '<SYSTEM32>\tskill.exe' /a snservice.exe
- '<SYSTEM32>\tskill.exe' /a secure32.exe
- '<SYSTEM32>\tskill.exe' /a ahnsd.exe
- '<SYSTEM32>\tskill.exe' /a mspmspsv.exe
- '<SYSTEM32>\tskill.exe' /a noadmon.exe
- '<SYSTEM32>\tskill.exe' /a winload.exe
- '<SYSTEM32>\tskill.exe' /a v3p3at.exe
- '<SYSTEM32>\tskill.exe' /a monsvcnt.exe
- '<SYSTEM32>\tskill.exe' /a ahnsdsv.exe
- '<SYSTEM32>\tskill.exe' /a sdac11ba.exe
- '<SYSTEM32>\tskill.exe' /a navapsvc.exe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\net.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
- AVSYNMGR.EXE
- AVPM.EXE
- ash.exe
- GUARD.EXE
- ashAvSrv.exe
- ashAvast.exe
- AVGCTRL.EXE
- AVGCC32.EXE
- avgcc.exe
- AVP.COM
- AVPCC.EXE
- AVP32.EXE
- AVP.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1.tmp\Savk-Deadly 2.0.bat
