Trojan.AVKill.22669

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'sysrunc' = '<SYSTEM32>\sysrunc.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'daemon' = '%APPDATA%\daemon.exe'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Запускает на исполнение:

<SYSTEM32>\reg.exe ADD "HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile" /v EnableFirewall /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe ADD "HKLM\Software\Microsoft\Internet Explorer\Main\FeatureControl" /v FEATURE_WEBOC_POPUPMANAGEMENT /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe ADD "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile" /v EnableFirewall /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe ADD "HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile" /v EnableFirewall /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe ADD "HKLM\Software\Microsoft\Internet Explorer\Main" /v Show_FullURL /t REG_SZ /d yes /f
<SYSTEM32>\reg.exe ADD "HKLM\Software\Microsoft\Internet Explorer\MINIE" /v ShowStatusBar /t REG_DWORD /d 1 /f
<SYSTEM32>\rundll32.exe
<SYSTEM32>\reg.exe ADD "HKLM\Software\Microsoft\Internet Explorer\Main" /v Show_StatusBar /t /d yes /f
<SYSTEM32>\reg.exe ADD "HKLM\Software\Microsoft\Internet Explorer\Main" /v Show_URLinStatusBar /t REG_SZ /d yes /f
<SYSTEM32>\reg.exe ADD "HKCU\software" /v "crc32" /t REG_SZ /d "hrscgtKJ" /f
<SYSTEM32>\attrib.exe +R +H "%APPDATA%\daemon.exe"
<SYSTEM32>\attrib.exe -R -H "%APPDATA%\daemon.exe"
<SYSTEM32>\attrib.exe -R -H "<SYSTEM32>sysrunc.exe"
<SYSTEM32>\reg.exe ADD "HKCU\software\microsoft\windows\currentversion\run" /v "daemon" /t REG_SZ /d "%APPDATA%\daemon.exe" /f
<SYSTEM32>\reg.exe ADD "HKLM\software\microsoft\windows\currentversion\run" /v "sysrunc" /t REG_SZ /d "<SYSTEM32>\sysrunc.exe" /f
<SYSTEM32>\reg.exe ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f
<SYSTEM32>\attrib.exe -R -H "<SYSTEM32>\sysrunc.exe"
<SYSTEM32>\attrib.exe +R +H "<SYSTEM32>\sysrunc.exe"

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = 'local'
[<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = '127.0.0.1:5220'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\daemon.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ver[2].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ver[2].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\dver[1].php
%APPDATA%\rundx.dll
<SYSTEM32>\sysrunc.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ver[1].txt
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ver[1].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ver[1].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ver[1].txt

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\sysrunc.exe
%APPDATA%\daemon.exe

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ver[1].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ver[2].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ver[2].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ver[1].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ver[1].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ver[1].txt

Сетевая активность:

Подключается к:

'ns####54.ovh.net':80
'18#.#65.244.159':80
'be###oon.com':80
'ma##x.me':80
'af##ili.com':80

TCP:

Запросы HTTP GET:

18#.#65.244.159/newadmin/requests/ver.txt
af##ili.com/newadmin/requests/dver.php
af##ili.com/newadmin/requests/register.php?id########################################################
ns####54.ovh.net/newadmin/requests/ver.txt
ma##x.me/newadmin/requests/ver.txt
af##ili.com/newadmin/requests/ver.txt
be###oon.com/newadmin/requests/ver.txt

UDP: