Trojan.KillFiles.63195

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SERVICE' = '<SYSTEM32>\service.exe'

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\»ШКХХѕ.{645FF040-5081-101B-9F08-00AA002F954E}\msng.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' -f -im taskmgr.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\service.exe
<STUBS_DIR>\egni.exe
<STUBS_DIR>\ecmd.exe
<STUBS_DIR>\Drwebwcl.exe
<STUBS_DIR>\Drwebupw.exe
<STUBS_DIR>\drweb386.exe
<STUBS_DIR>\Drweb32w.exe
<STUBS_DIR>\drweb.exe
<STUBS_DIR>\dnf.exe
<STUBS_DIR>\dekaron.exe
<STUBS_DIR>\contactNG.exe
<STUBS_DIR>\clntw32.exe
<STUBS_DIR>\clmain.exe
<STUBS_DIR>\client7.exe
<STUBS_DIR>\clbank.exe
<STUBS_DIR>\ekrn.exe
<STUBS_DIR>\ClamWin.exe
<STUBS_DIR>\ccapp.exe
<STUBS_DIR>\cbsmain.exe
<STUBS_DIR>\cbmain.exe
<STUBS_DIR>\cbank.exe
<STUBS_DIR>\cabalmain.exe
<STUBS_DIR>\bk.exe
<STUBS_DIR>\bdsubmit.exe
<STUBS_DIR>\bdss.exe
<STUBS_DIR>\bdagent.exe
<STUBS_DIR>\bc_loader.exe
<STUBS_DIR>\bclient.exe
<STUBS_DIR>\BBClient.exe
<STUBS_DIR>\bankcl.exe
<STUBS_DIR>\AVSYNMGR.exe
<STUBS_DIR>\chrome.exe
<STUBS_DIR>\inbank-start-ff.exe
<STUBS_DIR>\miranda32.exe
<STUBS_DIR>\el_cli.exe
<STUBS_DIR>\Mir3Game.exe
<STUBS_DIR>\MCAGENT.exe
<STUBS_DIR>\maplestory.exe
<STUBS_DIR>\magent.exe
<STUBS_DIR>\lotroclient.exe
<STUBS_DIR>\loadmain.exe
<STUBS_DIR>\lin.exe
<STUBS_DIR>\l2.exe
<STUBS_DIR>\kb_cli.exe
<STUBS_DIR>\javaw.exe
<STUBS_DIR>\java.exe
<STUBS_DIR>\ISClient.exe
<STUBS_DIR>\iscc.exe
<STUBS_DIR>\intpro.exe
<STUBS_DIR>\AVPM.exe
<STUBS_DIR>\InphaseNXD.exe
<STUBS_DIR>\iexplore.exe
<STUBS_DIR>\ICQ.exe
<STUBS_DIR>\httplook.exe
<STUBS_DIR>\gw.exe
<STUBS_DIR>\GVOnline.exe
<STUBS_DIR>\GUARD.exe
<STUBS_DIR>\googletalk.exe
<STUBS_DIR>\ge.exe
<STUBS_DIR>\gc.exe
<STUBS_DIR>\fsavgui.exe
<STUBS_DIR>\fsavaui.exe
<STUBS_DIR>\fsav32.exe
<STUBS_DIR>\fsav.exe
<STUBS_DIR>\firefox.exe
<STUBS_DIR>\elbank.exe
<STUBS_DIR>\elementclient.exe
<STUBS_DIR>\AVPCC.exe
C:\Far2\Plugins\DrawLine.exe
C:\Far2\Plugins\Colorer\hrd.exe
C:\Far2\Plugins\Colorer\hrd\console.exe
C:\Far2\Plugins\Colorer\hrc.exe
C:\Far2\Plugins\Colorer\hrc\auto.exe
C:\Far2\Plugins\Colorer\hrc\auto\types.exe
C:\Far2\Plugins\Colorer\bin.exe
C:\Far2\Plugins\Brackets.exe
C:\Far2\Plugins\AutoWrap.exe
C:\Far2\Plugins\arclite.exe
C:\Far2\Plugins\Align.exe
C:\Far2\Plugins\7-Zip.exe
C:\Far2\FExcept.exe
C:\Far2\Encyclopedia.exe
C:\Far2\Documentation.exe
C:\Far2\Plugins\Colorer.exe
C:\Far2\Documentation\rus.exe
C:\Far2\Addons.exe
C:\Far2\Addons\XLat.exe
C:\Far2\Addons\XLat\Russian.exe
C:\Far2\Addons\Shell.exe
C:\Far2\Addons\SetUp.exe
C:\Far2\Addons\Macros.exe
C:\Far2\Addons\Colors.exe
C:\Far2\Addons\Colors\Default Highlighting.exe
C:\Far2\Addons\Colors\Custom Highlighting.exe
C:\Documents and Settings.exe
%HOMEPATH%.exe
%ALLUSERSPROFILE%.exe
%ALLUSERSPROFILE%\Favorites.exe
<Текущая директория>.exe
C:\Far2\Documentation\eng.exe
C:\Far2\Plugins\WinSCP.exe
<STUBS_DIR>\AVP.exe
C:\Far2\Plugins\EditCase.exe
<STUBS_DIR>\AVGCTRL.exe
<STUBS_DIR>\AVGCC32.exe
<STUBS_DIR>\avgcc.exe
<STUBS_DIR>\ashAvSrv.exe
<STUBS_DIR>\ashAvast.exe
<STUBS_DIR>\ash.exe
<STUBS_DIR>\aion.exe
<STUBS_DIR>\ageofconan.exe
<STUBS_DIR>\360tray.exe
C:\Muldrop.exe
C:\Far2.exe
C:\Far2\PluginSDK.exe
C:\Far2\PluginSDK\Headers.pas.exe
C:\Far2\PluginSDK\Headers.c.exe
<STUBS_DIR>\AVP32.exe
C:\Far2\Plugins.exe
C:\Far2\Plugins\TmpPanel.exe
C:\Far2\Plugins\ProcList.exe
C:\Far2\Plugins\Network.exe
C:\Far2\Plugins\MacroView.exe
C:\Far2\Plugins\HlfViewer.exe
C:\Far2\Plugins\FTP.exe
C:\Far2\Plugins\FTP\lib.exe
C:\Far2\Plugins\FileCase.exe
C:\Far2\Plugins\FarCmds.exe
C:\Far2\Plugins\ExtSearch.exe
C:\Far2\Plugins\ExtSearch\sources.exe
C:\Far2\Plugins\ExtSearch\keys.exe
C:\Far2\Plugins\ExtSearch\doc.exe
C:\Far2\Plugins\EMenu.exe
C:\Far2\Plugins\Compare.exe
<STUBS_DIR>\mpftray.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\service.exe

Другое:

Ищет следующие окна:

ClassName: 'CabinetWClass' WindowName: ''
ClassName: 'WorkerW' WindowName: ''
ClassName: 'ReBarWindow32' WindowName: ''
ClassName: 'Address Band Root' WindowName: ''
ClassName: 'msctls_progress32' WindowName: ''
ClassName: 'Breadcrumb Parent' WindowName: ''
ClassName: 'ToolbarWindow32' WindowName: ''
ClassName: 'ComboBoxEx32' WindowName: ''
ClassName: 'ComboBox' WindowName: ''
ClassName: 'Edit' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение:

'<SYSTEM32>\service.exe'

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта

Скачать с Google Play

Поздравляем! Обменяйте их на скидку до 50% на покупку Dr.Web.

Получить скидку

Скачайте
Dr.Web для Android

Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через
AppGallery/Google Pay

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней