Trojan.AVKill.28915

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'caidiysetup' = '<Текущая директория>\diynetsetupuni.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RichMedia' = '<SYSTEM32>\Rundll32.exe "%PROGRAM_FILES%\hbclient\HBHelper.dll",WaitWindows'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'CheckFaultKernel' = '<SYSTEM32>\mswdm.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'KernelFaultCess' = '<SYSTEM32>\mssie.exe'

Создает или изменяет следующие файлы:

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\pcast\PodcastbarMini\update.exe' = '%PROGRAM_FILES%\pcast\PodcastbarMini\update.exe:*:Enabled:Share Streaming'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Текущая директория>\101600.exe' = '<Текущая директория>\101600.exe:*:Enabled:DM'

Создает и запускает на исполнение:

<Текущая директория>\DIYNETSetupUni.exe 1029
<SYSTEM32>\mssie.exe "<Текущая директория>\cqm.exe"
%TEMP%\RarSFX0\downl.exe 194073155
%PROGRAM_FILES%\pcast\PodcastbarMini\cache\setups.exe
%PROGRAM_FILES%\pcast\PodcastbarMini\update.exe
<Текущая директория>\boba_super_update-1.0.0.1_ruanxin_015.exe
<Текущая директория>\cqm.exe
<Текущая директория>\mhm.exe
<Текущая директория>\101600.exe
<Текущая директория>\caishow.exe
<Текущая директория>\194073155.exe
%PROGRAM_FILES%\pcast\PodcastbarMini\cache\setups.exe (загружен из сети Интернет)

Запускает на исполнение:

Внедряет код в

следующие системные процессы:

Завершает или пытается завершить

следующие пользовательские процессы:

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\hber.ini
%WINDIR%\Temp\mssoak.exe
<SYSTEM32>\distributer.txt
%TEMP%\cbtb.sys
<SYSTEM32>\mssie.exe
%PROGRAM_FILES%\hbclient\HBHelper.dll
%PROGRAM_FILES%\pcast\PodcastbarMini\cache\setups.exe
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\update[1].ini
%WINDIR%\Temp\IME2.tmp
%WINDIR%\hb24065.log
%WINDIR%\helper.ini
<SYSTEM32>\hbhsy.ini
%PROGRAM_FILES%\pcast\PodcastbarMini\download.ini
<Текущая директория>\194073155.exe
<Текущая директория>\boba_super_update-1.0.0.1_ruanxin_015.exe
<Текущая директория>\caishow.exe
<Текущая директория>\cqm.exe
<Текущая директория>\mhm.exe
<Текущая директория>\101600.exe
%TEMP%\RarSFX0\HBHelper.dll
<Текущая директория>\DIYNETSetupUni.exe
%PROGRAM_FILES%\pcast\PodcastbarMini\update.exe
<SYSTEM32>\mswdm.exe
%TEMP%\cesy.dll
%TEMP%\RarSFX0\downl.exe