Trojan.AVKill.29352

Trojan.AVKill.29352

Добавлен в вирусную базу Dr.Web: 2013-03-31

Описание добавлено: 2013-04-11

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AV_KILLER.bat1' = '%TEMP%\AV_KILLER.bat'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Создает и запускает на исполнение:

%TEMP%\Pack.TH.CA.exe
%TEMP%\2.tmp\batchfile.bat
%TEMP%\1.tmp\b2e.exe %TEMP%\1.tmp\b2e.exe <Текущая директория> <Полный путь к вирусу>

Запускает на исполнение:

<SYSTEM32>\taskkill.exe /f /im _avpm.exe
<SYSTEM32>\taskkill.exe /f /im ackwin32.exe
<SYSTEM32>\taskkill.exe /f /im advxdwin.exe
<SYSTEM32>\taskkill.exe /f /im mvtx.exe
<SYSTEM32>\taskkill.exe /f /im _avp32.exe
<SYSTEM32>\taskkill.exe /f /im _avpcc.exe
<SYSTEM32>\taskkill.exe /f /im agentsvr.exe
<SYSTEM32>\taskkill.exe /f /im alogserv.exe
<SYSTEM32>\taskkill.exe /f /im amon.exe
<SYSTEM32>\taskkill.exe /f /im amon9x.exe
<SYSTEM32>\taskkill.exe /f /im agv.exe
<SYSTEM32>\taskkill.exe /f /im ahnsd.exe
<SYSTEM32>\taskkill.exe /f /im alertsvc.exe
<SYSTEM32>\taskkill.exe /f /im mcdetect.exe
<SYSTEM32>\taskkill.exe /f /im mcregwiz.exe
<SYSTEM32>\taskkill.exe /f /im mcinfo.exe
<SYSTEM32>\taskkill.exe /f /im kpf4gui.exe
<SYSTEM32>\taskkill.exe /f /im kpf4ss.exe
<SYSTEM32>\taskkill.exe /f /im mcdash.exe
<SYSTEM32>\taskkill.exe /f /im mghtml.exe
<SYSTEM32>\taskkill.exe /f /im mpfservice.exe
<SYSTEM32>\taskkill.exe /f /im mpftray.exe
<SYSTEM32>\taskkill.exe /f /im mpfwizard.exe
<SYSTEM32>\taskkill.exe /f /im oasclnt.exe
<SYSTEM32>\taskkill.exe /f /im mpfagent.exe
<SYSTEM32>\taskkill.exe /f /im mpfconsole.exe
<SYSTEM32>\taskkill.exe /f /im amonavp32.exe
<SYSTEM32>\taskkill.exe /f /im avconsol.exe
<SYSTEM32>\taskkill.exe /f /im ave32.exe
<SYSTEM32>\taskkill.exe /f /im avgcc32.exe
<SYSTEM32>\taskkill.exe /f /im autodown.exe
<SYSTEM32>\taskkill.exe /f /im autotrace.exe
<SYSTEM32>\taskkill.exe /f /im autoupdate.exe
<SYSTEM32>\taskkill.exe /f /im avgctrl.exe
<SYSTEM32>\taskkill.exe /f /im avkpop.exe
<SYSTEM32>\taskkill.exe /f /im avkserv.exe
<SYSTEM32>\taskkill.exe /f /im avkservice.exe
<SYSTEM32>\taskkill.exe /f /im avgserv.exe
<SYSTEM32>\taskkill.exe /f /im avgserv9.exe
<SYSTEM32>\taskkill.exe /f /im avgserv9schedapp.exe
<SYSTEM32>\taskkill.exe /f /im ants.exe
<SYSTEM32>\taskkill.exe /f /im antssircam.exe
<SYSTEM32>\taskkill.exe /f /im apimonitor.exe
<SYSTEM32>\taskkill.exe /f /im anti -trojan.exe
<SYSTEM32>\taskkill.exe /f /im antivir.exe
<SYSTEM32>\taskkill.exe /f /im antivirus.exe
<SYSTEM32>\taskkill.exe /f /im aplica32.exe
<SYSTEM32>\taskkill.exe /f /im atscan.exe
<SYSTEM32>\taskkill.exe /f /im atupdater.exe
<SYSTEM32>\taskkill.exe /f /im atwatch.exe
<SYSTEM32>\taskkill.exe /f /im atcon.exe
<SYSTEM32>\taskkill.exe /f /im atguard.exe
<SYSTEM32>\taskkill.exe /f /im ats.exe
<SYSTEM32>\taskkill.exe /f /im spywareguard.exe
<SYSTEM32>\taskkill.exe /f /im ewidoctrl.exe
<SYSTEM32>\taskkill.exe /f /im guard.exe
<SYSTEM32>\taskkill.exe /f /im gcasdtserv.exe
<SYSTEM32>\taskkill.exe /f /im ashmaisv.exe
<SYSTEM32>\taskkill.exe /f /im ashserv.exe
<SYSTEM32>\taskkill.exe /f /im aswupdsv.exe
<SYSTEM32>\taskkill.exe /f /im msmpeng.exe
<SYSTEM32>\taskkill.exe /f /im outpost.exe
<SYSTEM32>\taskkill.exe /f /im isafe.exe
<SYSTEM32>\taskkill.exe /f /im minilog.exe
<SYSTEM32>\taskkill.exe /f /im mcafee.exe
<SYSTEM32>\taskkill.exe /f /im mghml.exe
<SYSTEM32>\taskkill.exe /f /im msiexec.exe
<SYSTEM32>\cmd.exe /c ""%TEMP%\selfdel0.bat" "
<SYSTEM32>\taskkill.exe /f /im nod32.exe
<SYSTEM32>\taskkill.exe /f /im kavmm.exe
<SYSTEM32>\cmd.exe /c ""%TEMP%\AV_KILLER.bat" "
<SYSTEM32>\taskkill.exe /f /im nod32krn.exe
<SYSTEM32>\rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\Aespera.jpg
<SYSTEM32>\taskkill.exe /f /im avgemc.exe
<SYSTEM32>\taskkill.exe /f /im avgw.exe
<SYSTEM32>\taskkill.exe /f /im ashwebsv.exe
<SYSTEM32>\taskkill.exe /f /im ashdisp.exe
<SYSTEM32>\taskkill.exe /f /im avgcc.exe
<SYSTEM32>\taskkill.exe /f /im avgamsvr.exe
<SYSTEM32>\taskkill.exe /f /im avgupsvc.exe
<SYSTEM32>\taskkill.exe /f /im zonealarm.exe
<SYSTEM32>\taskkill.exe /f /im avengine.exe
<SYSTEM32>\taskkill.exe /f /im apvxdwin.exe
<SYSTEM32>\taskkill.exe /f /im webproxy.exe
<SYSTEM32>\taskkill.exe /f /im cpdclnt.exe
<SYSTEM32>\taskkill.exe /f /im pavprsrv.exe
<SYSTEM32>\taskkill.exe /f /im pavprot.exe
<SYSTEM32>\taskkill.exe /f /im avguard.exe
<SYSTEM32>\taskkill.exe /f /im sccomm.exe
<SYSTEM32>\taskkill.exe /f /im spiderml.exe
<SYSTEM32>\taskkill.exe /f /im sgmain.exe
<SYSTEM32>\taskkill.exe /f /im avgnt.exe
<SYSTEM32>\taskkill.exe /f /im shed.exe
<SYSTEM32>\taskkill.exe /f /im avsched32.exe
<SYSTEM32>\taskkill.exe /f /im navw32.exe
<SYSTEM32>\taskkill.exe /f /im norton.exe
<SYSTEM32>\taskkill.exe /f /im navapsvc.exe
<SYSTEM32>\taskkill.exe /f /im zlclient.exe
<SYSTEM32>\taskkill.exe /f /im updclient.exe
<SYSTEM32>\taskkill.exe /f /im ccapp.exe
<SYSTEM32>\taskkill.exe /f /im ccsetmgr.exe
<SYSTEM32>\taskkill.exe /f /im logexprt.exe
<SYSTEM32>\taskkill.exe /f /im nisum.exe
<SYSTEM32>\taskkill.exe /f /im issvc.exe
<SYSTEM32>\taskkill.exe /f /im cccproxy.exe
<SYSTEM32>\taskkill.exe /f /im ccevtmgr.exe
<SYSTEM32>\taskkill.exe /f /im npfmntor.exe

Завершает или пытается завершить

следующие пользовательские процессы:

ccapp.exe
zlclient.exe
mpftray.exe
AVGCTRL.EXE
AVGCC32.EXE
avgcc.exe
nod32.exe
GUARD.EXE
ZONEALARM.EXE
outpost.exe

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: '' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
ClassName: '' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass' WindowName: ''
ClassName: '' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'GBDYLLO' WindowName: ''
ClassName: 'OLLYDBG' WindowName: ''
ClassName: 'FilemonClass' WindowName: ''
ClassName: 'pediy06' WindowName: ''

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\joiner.ini
%TEMP%\selfdel0.bat
%WINDIR%\datas.ini
%TEMP%\Aespera.jpg
%TEMP%\2.tmp\batchfile.bat
%TEMP%\1.tmp\b2e.exe
%TEMP%\Pack.TH.CA.exe
%TEMP%\AV_KILLER.bat

Удаляет следующие файлы:

%WINDIR%\datas.ini
%TEMP%\~DF44CA.tmp
%WINDIR%\joiner.ini
%TEMP%\2.tmp\batchfile.bat
%TEMP%\1.tmp\b2e.exe

Другое:

Ищет следующие окна:

ClassName: '' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'ShImgVw:CPreviewWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''
ClassName: '18467-41' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней