Trojan.AVKill.34985

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xsxwaak3iq1' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xyedvhew0in' = 'C:\runshut.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1iownnp4eja' = '<Текущая директория>\<Имя вируса>t5xcfbm4bxhzrdhiklhotjzfmvf12fw5x.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'aosbw5uuq01' = '<Текущая директория>\<Имя вируса>ec1opx2wqzirlk2lf125fv.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '41s2rfs5imn' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'csww5whyids' = '<Текущая директория>\<Имя вируса>q4gbkjkwy5ar5qvulndeev.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '3yigwd3gapz' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'rqd1j4x2b00' = '<Текущая директория>\<Имя вируса>gqt52gp15qj.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'kjl5tzhaucb' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xmoiimqdv5z' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '2montqfhf01' = '<Текущая директория>\<Имя вируса>t5xcfbm4bxhlpa2qlbj5so.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'gwoorglrqgv' = '<Текущая директория>\<Имя вируса>t5xcfbm4bxhevs03pmnupp.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'yamxi1krsvz' = '<Текущая директория>\<Имя вируса>q4gbkjkwy5akrqgcy5a4ru.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'wg5eociwvmu' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1quvraj41x4' = 'C:\runshut.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'l3of4w0zjz3' = 'C:\runshut.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '30ofuruw1e0' = '<Текущая директория>\<Имя вируса>t5xcfbm4bxhwjm2mc5aqjd5w3uhldxm5x.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'fvjmfsn3p3t' = '<Текущая директория>\<Имя вируса>wj0shfujw1k.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xklz5e1qjl0' = 'C:\runshut.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'm31f4myxf3n' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'bpwq3hqc2qp' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'awovzk1wvqz' = '<Текущая директория>\<Имя вируса>t5xcfbm4bxhzrdhiklhotj.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xxki0kndape' = '<Текущая директория>\<Имя вируса>q4gbkjkwy5a.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'uokfrmenuxk' = 'C:\runshut.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '0y24q2dpkpe' = 'C:\runshut.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '2iokwb2ko40' = '<Текущая директория>\<Имя вируса>t5xcfbm4bxh.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'wqkyx3uzusa' = 'C:\runshut.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'eykv3pflu54' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ach34qbsdtz' = '<Текущая директория>\<Имя вируса>ec1opx2wqzi.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ppfmltxpzwm' = 'C:\runshut.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'qd3oja5fdaz' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'vk3hrzwaf3s' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '5ncfc3ymty5' = 'C:\runshut.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'y0phtk4yeqd' = 'C:\runshut.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'm1xyh42agaq' = 'C:\iexplore.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'aoylrzrlomg' = '<Текущая директория>\<Имя вируса>t5xcfbm4bxhwjm2mc5aqjd.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pkfvy3qa03r' = 'C:\runshut.bat'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '5f1eiyou0qj' = 'C:\runshut.bat'

Вредоносные функции:

Создает и запускает на исполнение:

'<Текущая директория>\<Имя вируса>t5xcfbm4bxhwjm2mc5aqjd5w3uhldxm5x.exe'
'<Текущая директория>\<Имя вируса>t5xcfbm4bxhzrdhiklhotjzfmvf12fw5x.exe'
'<Текущая директория>\<Имя вируса>ec1opx2wqzirlk2lf125fv.exe'
'<Текущая директория>\<Имя вируса>q4gbkjkwy5akrqgcy5a4ru.exe'
'<Текущая директория>\<Имя вируса>t5xcfbm4bxhlpa2qlbj5so.exe'
'<Текущая директория>\<Имя вируса>wj0shfujw1k.exe'
'<Текущая директория>\<Имя вируса>gqt52gp15qj.exe'
'<Текущая директория>\<Имя вируса>t5xcfbm4bxhzrdhiklhotj.exe'
'<Текущая директория>\<Имя вируса>q4gbkjkwy5a.exe'
'<Текущая директория>\<Имя вируса>t5xcfbm4bxh.exe'
'<Текущая директория>\<Имя вируса>q4gbkjkwy5ar5qvulndeev.exe'
'<Текущая директория>\<Имя вируса>t5xcfbm4bxhwjm2mc5aqjd.exe'
'<Текущая директория>\<Имя вируса>ec1opx2wqzi.exe'

Запускает на исполнение:

'<SYSTEM32>\net1.exe' user %USERNAME% xsq5gxxns4j
'<SYSTEM32>\cmd.exe' /c ""C:\iexplore.bat" "
'<SYSTEM32>\shutdown.exe' /s /t 30

Внедряет код в

следующие пользовательские процессы:

nod32.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\Explorer.EXE

следующие пользовательские процессы:

iexplore.exe
chrome.exe
opera.exe
nod32.exe
skype.exe

Пытается завершить работу операционной системы Windows.

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\<Имя вируса>t5xcfbm4bxhzrdhiklhotjzfmvf12fw5x.exe
<Текущая директория>\<Имя вируса>t5xcfbm4bxhwjm2mc5aqjd5w3uhldxm5x.exe
<Текущая директория>\<Имя вируса>gqt52gp15qj.exe
<Текущая директория>\<Имя вируса>ec1opx2wqzirlk2lf125fv.exe
<Текущая директория>\<Имя вируса>t5xcfbm4bxhlpa2qlbj5so.exe
<Текущая директория>\<Имя вируса>q4gbkjkwy5akrqgcy5a4ru.exe
<Текущая директория>\<Имя вируса>wj0shfujw1k.exe
<Текущая директория>\<Имя вируса>t5xcfbm4bxhevs03pmnupp.exe
<Текущая директория>\<Имя вируса>q4gbkjkwy5ar5qvulndeev.exe
C:\runshut.bat
C:\iexplore.bat
%WINDIR%\createuser.bat
<Текущая директория>\<Имя вируса>t5xcfbm4bxh.exe
<Текущая директория>\<Имя вируса>ec1opx2wqzi.exe
<Текущая директория>\<Имя вируса>t5xcfbm4bxhwjm2mc5aqjd.exe
<Текущая директория>\<Имя вируса>q4gbkjkwy5a.exe
<Текущая директория>\<Имя вируса>t5xcfbm4bxhzrdhiklhotj.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<Текущая директория>\<Имя вируса>t5xcfbm4bxhwjm2mc5aqjd5w3uhldxm5x.exe
<Текущая директория>\<Имя вируса>ec1opx2wqzirlk2lf125fv.exe
<Текущая директория>\<Имя вируса>t5xcfbm4bxhzrdhiklhotjzfmvf12fw5x.exe
<Текущая директория>\<Имя вируса>q4gbkjkwy5akrqgcy5a4ru.exe
<Текущая директория>\<Имя вируса>t5xcfbm4bxhlpa2qlbj5so.exe
<Текущая директория>\<Имя вируса>wj0shfujw1k.exe
<Текущая директория>\<Имя вируса>gqt52gp15qj.exe
<Текущая директория>\<Имя вируса>t5xcfbm4bxhzrdhiklhotj.exe
<Текущая директория>\<Имя вируса>q4gbkjkwy5a.exe
<Текущая директория>\<Имя вируса>t5xcfbm4bxh.exe
<Текущая директория>\<Имя вируса>q4gbkjkwy5ar5qvulndeev.exe
<Текущая директория>\<Имя вируса>t5xcfbm4bxhwjm2mc5aqjd.exe
<Текущая директория>\<Имя вируса>ec1opx2wqzi.exe

Удаляет следующие файлы:

<Текущая директория>\<Имя вируса>t5xcfbm4bxhevs03pmnupp.exe

Самоудаляется.

Другое:

Ищет следующие окна:

ClassName: 'Indicator' WindowName: '(null)'
ClassName: 'Shell_TrayWnd' WindowName: '(null)'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней