Trojan.FakeAV.17681

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '*Task Scheduler Engine' = '%temp%\WINDOWS\SYSTEMFILES\taskeng.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe,%temp%\WINDOWS\SYSTEMFILES\ucsvc.exe'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' /IM YontooSetup-S.exe
'<SYSTEM32>\taskkill.exe' /IM QuickTimeInstaller.exe
'<SYSTEM32>\taskkill.exe' /IM air89.exe
'<SYSTEM32>\taskkill.exe' /IM 1DE1.exe
'<SYSTEM32>\taskkill.exe' /IM DSUpdate.ts3
'<SYSTEM32>\taskkill.exe' /IM picasa39-setup (1).exe
'<SYSTEM32>\taskkill.exe' /IM GiantSavings.exe
'<SYSTEM32>\taskkill.exe' /IM 2183.exe
'<SYSTEM32>\taskkill.exe' /IM SS_MAN~1.SCR
'<SYSTEM32>\taskkill.exe' /IM E81E.exe
'<SYSTEM32>\taskkill.exe' /IM B576.exe
'<SYSTEM32>\taskkill.exe' /IM rphelperapp.exe
'<SYSTEM32>\taskkill.exe' /IM 8ECAA.exe
'<SYSTEM32>\taskkill.exe' /IM spoolsv.exe
'<SYSTEM32>\taskkill.exe' /IM flashget.exe
'<SYSTEM32>\taskkill.exe' /IM winsys2.exe
'<SYSTEM32>\taskkill.exe' /IM 105ac750-5016.tmp
'<SYSTEM32>\taskkill.exe' /IM tbgqdfl.exe
'<SYSTEM32>\taskkill.exe' /IM 485E.exe
'<SYSTEM32>\taskkill.exe' /IM msmsgs.exe
'<SYSTEM32>\taskkill.exe' /IM gtbcheck.exe
'<SYSTEM32>\taskkill.exe' /IM airC36.exe
'<SYSTEM32>\taskkill.exe' /IM flash-player.exe
'<SYSTEM32>\taskkill.exe' /IM 88F9E.exe
'<SYSTEM32>\taskkill.exe' /IM 72F9.exe
'<SYSTEM32>\taskkill.exe' /IM bmufa-64.exe
'<SYSTEM32>\taskkill.exe' /IM GiantSavings_US.exe
'<SYSTEM32>\taskkill.exe' /IM A26D.exe
'<SYSTEM32>\taskkill.exe' /IM MSI6D15.tmp
'<SYSTEM32>\taskkill.exe' /IM WindowsXPKeygen.exe
'<SYSTEM32>\taskkill.exe' /IM D613.exe
'<SYSTEM32>\taskkill.exe' /IM 4D9B.tmp
'<SYSTEM32>\attrib.exe' /pid=2812
'<SYSTEM32>\attrib.exe' /IM 10aebb03-5876.tmp
'<SYSTEM32>\taskkill.exe' /IM Server-Stub-117.exe
'<SYSTEM32>\taskkill.exe' /IM PopularScreenSavers.exe
'<SYSTEM32>\taskkill.exe' /IM 100E.tmp
'<SYSTEM32>\taskkill.exe' /IM EF8B.exe
'<SYSTEM32>\taskkill.exe' /IM IWantThis_ppi.exe.un.exe
'<SYSTEM32>\taskkill.exe' /IM dnu.exe
'<SYSTEM32>\taskkill.exe' /IM ExeFile.exe
'<SYSTEM32>\taskkill.exe' /IM Coupon CompanionGui.exe
'<SYSTEM32>\taskkill.exe' /IM NVCPL.EXE
'<SYSTEM32>\taskkill.exe' /IM CRSS.EXE
'<SYSTEM32>\taskkill.exe' /IM ISASS.EXE
'<SYSTEM32>\cacls.exe' %TEMP%\WINDOWS\SYSTEMFILES /E /P everyone:n
'<SYSTEM32>\cacls.exe' %TEMP%\WINDOWS /E /P everyone:n
'<SYSTEM32>\taskkill.exe' /IM RogueKiller.exe
'<SYSTEM32>\taskkill.exe' /IM RogueKillerX64.exe
'<SYSTEM32>\taskkill.exe' /IM aswMBR.exe
'<SYSTEM32>\taskkill.exe' /IM SCVHOST.EXE
'<SYSTEM32>\taskkill.exe' /IM SVHOST.EXE
'<SYSTEM32>\attrib.exe' +a +h +r "%TEMP%\TEMP.DLLS_RBK03906Y793494569\*.*" /S /D
'<SYSTEM32>\attrib.exe' +a +h +s +r "%TEMP%\WINDOWS\SYSTEMFILES\*.*" /S /D
'<SYSTEM32>\cmd.exe' /c ""<Текущая директория>\bbb.bat" "
'<SYSTEM32>\attrib.exe' +a +h +r "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\*.*" /S /D
'<SYSTEM32>\cmd.exe' /c ""<Текущая директория>\filename.bat" "
'<SYSTEM32>\attrib.exe' +a +h +r "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\*.*" /S /D
'<SYSTEM32>\attrib.exe' +a +h +s +r "%TEMP%\WINDOWS" /S /D
'<SYSTEM32>\attrib.exe' +a +h +r "%TEMP%\TEMP.DLLS_RBK03906Y793494569" /S /D
'<SYSTEM32>\attrib.exe' -a -h -s -r "<DRIVERS>\etc\hosts" /S /D
'<SYSTEM32>\attrib.exe' -a -h -s -r "<DRIVERS>\etc" /S /D
'<SYSTEM32>\attrib.exe' +a +h +s +r "%TEMP%\WINDOWS\SYSTEMFILES" /S /D
'<SYSTEM32>\taskkill.exe' /IM SearchSettings.exe
'<SYSTEM32>\taskkill.exe' /IM csrss32.exe
'<SYSTEM32>\taskkill.exe' /IM $hp2F63.tmp
'<SYSTEM32>\taskkill.exe' /IM CDProxyServ.exe
'<SYSTEM32>\taskkill.exe' /IM VistaDrive.exe
'<SYSTEM32>\taskkill.exe' /IM 7S1mqUnafXetef.exe
'<SYSTEM32>\taskkill.exe' /IM VVSN.exe
'<SYSTEM32>\taskkill.exe' /IM F0C7.exe
'<SYSTEM32>\taskkill.exe' /IM qttask.exe
'<SYSTEM32>\taskkill.exe' /IM services.exe
'<SYSTEM32>\taskkill.exe' /IM 10aba34-5619.tmp
'<SYSTEM32>\taskkill.exe' /IM dlhost.exe
'<SYSTEM32>\taskkill.exe' /IM AppLaunch.exe
'<SYSTEM32>\taskkill.exe' /IM msdscs.exe
'<SYSTEM32>\taskkill.exe' /IM rootkitremover.exe
'<SYSTEM32>\taskkill.exe' /IM msdcsc.exe
'<SYSTEM32>\taskkill.exe' /IM notepad.exe
'<SYSTEM32>\taskkill.exe' /IM jusched.exe
'<SYSTEM32>\taskkill.exe' /IM conhost32.exe
'<SYSTEM32>\taskkill.exe' /IM RegSvcs.exe
'<SYSTEM32>\taskkill.exe' /IM shell.exe

Внедряет код в

следующие системные процессы:

<SYSTEM32>\taskkill.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\attrib.exe

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'DisallowRun' = '00000001'

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '.avi;.bat;.com;.cmd;.exe;.htm;.html;.lnk;.mpg;.mpeg;.mov;.mp3;.msi;.m3u;.rar;.reg;.txt;.vbs;.wav;.zip;'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'

Изменения в файловой системе:

Создает следующие файлы: