Trojan.AVKill.9141

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Server.exe.A' = '<Полный путь к вирусу>'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

Запускает на исполнение:

<SYSTEM32>\tskill.exe regedit
<SYSTEM32>\tskill.exe aimpro
<SYSTEM32>\tskill.exe NPE
<SYSTEM32>\tskill.exe iexplorer
<SYSTEM32>\tskill.exe msnmessenger
<SYSTEM32>\tskill.exe taskmgr
<SYSTEM32>\tskill.exe notepad
<SYSTEM32>\tskill.exe chrome
<SYSTEM32>\tskill.exe cmd
<SYSTEM32>\tskill.exe opera
<SYSTEM32>\tskill.exe firefox

Завершает или пытается завершить

следующие пользовательские процессы:

opera.exe
firefox.exe
chrome.exe

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'noclose' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'

Изменения в файловой системе:

Создает следующие файлы:

C:\Server.exe
<SYSTEM32>\Microsoft\Server.exe
<DRIVERS>\etc\Server.exe
<DRIVERS>\Server.exe
<SYSTEM32>\Server.exe
%ALLUSERSPROFILE%\Documents\Server.exe
%WINDIR%\Server.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\Server.exe
<Полный путь к вирусу>
%ALLUSERSPROFILE%\Documents\Server.exe
<DRIVERS>\etc\Server.exe
%WINDIR%\Server.exe
<SYSTEM32>\Microsoft\Server.exe
<DRIVERS>\Server.exe

Удаляет следующие файлы:

%WINDIR%\Microsoft.NET\Framework\v4.0.30319\_ServiceModelServicePerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\_ServiceModelOperationPerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\_TransactionBridgePerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\_SMSvcHostPerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\_ServiceModelEndpointPerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\_dataperfcounters_shared12_neutral.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\_DataPerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\_NetworkingPerfCounters_v2.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\_NetworkingPerfCounters.h
<SYSTEM32>\mqprfsym.h
<SYSTEM32>\rsvpcnts.h
<SYSTEM32>\rasctrnm.h
<SYSTEM32>\wbem\Performance\WmiApRpl.h
<SYSTEM32>\tslabels.h
<SYSTEM32>\pschdcnt.h
<SYSTEM32>\perfci.h
<SYSTEM32>\msdtcprf.h
<SYSTEM32>\perfwci.h
<SYSTEM32>\perffilt.h
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\_NetworkingPerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\_dataperfcounters_shared12_neutral.h
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\_ServiceModelOperationPerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\_ServiceModelEndpointPerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\_DataPerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\aspnet_state_perf.h
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\aspnet_perf.h
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\_DataOracleClientPerfCounters_shared12_neutral.h
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\CORPerfMonSymbols.h
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\_ServiceModelServicePerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\netmemorycache.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\CORPerfMonSymbols.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\_DataOracleClientPerfCounters_shared12_neutral.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\PerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_state_perf.h
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\_TransactionBridgePerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\_SMSvcHostPerfCounters.h
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\aspnet_perf.h
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Workflow Foundation\PerfCounters.h