Trojan.AVKill.6921

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command] '' = '"<Полный путь к вирусу>" -a "%PROGRAM_FILES%\Internet Explorer\iexplore.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '3659899780' = '<Полный путь к вирусу>'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DisableNotifications' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'

Для затруднения выявления своего присутствия в системе

блокирует:

Завершает или пытается завершить

следующие пользовательские процессы:

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Templates\ifm.exe
%HOMEPATH%\Templates\ygq.exe
%HOMEPATH%\Templates\ixl.exe
%TEMP%\qve.exe
%TEMP%\mhg.exe
%TEMP%\pop.exe
%ALLUSERSPROFILE%\Application Data\41u6e2v80wwx4u0113hs32ilj10b7ca4u47muc5n3kl5b
%TEMP%\41u6e2v80wwx4u0113hs32ilj10b7ca4u47muc5n3kl5b
%HOMEPATH%\Templates\41u6e2v80wwx4u0113hs32ilj10b7ca4u47muc5n3kl5b
%HOMEPATH%\Templates\cej.exe
%HOMEPATH%\Templates\ppd.exe
<LS_APPDATA>\41u6e2v80wwx4u0113hs32ilj10b7ca4u47muc5n3kl5b
<LS_APPDATA>\dwn.exe
<LS_APPDATA>\oml.exe
%ALLUSERSPROFILE%\Application Data\cem.exe
<LS_APPDATA>\coh.exe
<LS_APPDATA>\ckf.exe
<LS_APPDATA>\jct.exe
%ALLUSERSPROFILE%\Application Data\djm.exe
%TEMP%\sfq.exe
%TEMP%\krr.exe
%ALLUSERSPROFILE%\Application Data\swa.exe
%ALLUSERSPROFILE%\Application Data\iak.exe
%ALLUSERSPROFILE%\Application Data\fnu.exe