Trojan.Disabler.106

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'avastsearch' = '%WINDIR%\web\explore\explore.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'avastvbs' = '%WINDIR%\explore.vbs'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'explore' = '%WINDIR%\web\explore\explore.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'explorevbs' = '%WINDIR%\explore.vbs'

Подменяет следующие исполняемые системные файлы:

<SYSTEM32>\dllcache\attrib.exe файлом <SYSTEM32>\dllcache\attrib.exe.new
<SYSTEM32>\dllcache\taskkill.exe файлом <SYSTEM32>\dllcache\taskkill.exe.new
<SYSTEM32>\attrib.exe файлом <SYSTEM32>\attrib.exe.new
<SYSTEM32>\taskkill.exe файлом <SYSTEM32>\taskkill.exe.new

Заражает следующие исполняемые файлы:

<SYSTEM32>\dllcache\taskkill.exe.new
<SYSTEM32>\dllcache\attrib.exe.new

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)

Запускает на исполнение:

'<SYSTEM32>\reg.exe' DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\AvastUI.exe" /F
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V avastsearch /T REG_SZ /D "%WINDIR%\web\explore\explore.exe" /F
'<SYSTEM32>\reg.exe' DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SMADAV" /f
'<SYSTEM32>\reg.exe' DELETE HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\trojan* /f
'<SYSTEM32>\reg.exe' DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\trojan remover" /f
'<SYSTEM32>\reg.exe' COPY HKCR\dllfile\DefaultIcon HKCR\RECYCLAGE\dllfile /f
'<SYSTEM32>\reg.exe' COPY HKCR\mp3file\DefaultIcon HKCR\RECYCLAGE\mp3file /f
'<SYSTEM32>\reg.exe' COPY HKCR\exefile\DefaultIcon HKCR\RECYCLAGE\exefile /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V avastvbs /T REG_SZ /D "%WINDIR%\explore.vbs" /F
'<SYSTEM32>\reg.exe' ADD HKCR\RECYCLAGE\ /f
'<SYSTEM32>\reg.exe' ADD HKCU\Software\Microsoft\windows\CurrentVersion\Run /V explorevbs /T REG_SZ /D "%WINDIR%\explore.vbs" /F
'<SYSTEM32>\reg.exe' ADD HKCU\Software\Microsoft\windows\CurrentVersion\Policies\System /V DisableTaskMgr /T REG_DWORD /D 1 /F
'<SYSTEM32>\reg.exe' ADD HKCU\Software\Microsoft\windows\CurrentVersion\Run /V explore /T REG_SZ /D "%WINDIR%\web\explore\explore.exe" /F
'<SYSTEM32>\taskkill.exe' /im /f Avastsvc.exe
'<SYSTEM32>\taskkill.exe' /im /f AvastUI.exe
'<SYSTEM32>\reg.exe' DELETE "HKCR\Software\Avast Software" /f
'<SYSTEM32>\reg.exe' DELETE HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\avast /f
'<SYSTEM32>\reg.exe' DELETE "HKCU\Software\Avast Software" /f
'<SYSTEM32>\reg.exe' ADD HKCU\Software\Microsoft\windows\CurrentVersion\Policies\Explorer /V NoRun /T REG_DWORD /D 1 /F
'<SYSTEM32>\reg.exe' ADD HKCU\Software\Microsoft\windows\CurrentVersion\Policies\System /V DisableRegistryTools /T REG_DWORD /D 1 /F