TR/KillAV.AV.1 - Trojan

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	TR/KillAV.AV.1
Обнаружен:	28/03/2006
Вид:	Троянская программа
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	34.064 байт.
Контрольная сумма MD5:	e021b7cbe9eb78a8c82836c0e5a4f363
Версия VDF:	6.34.00.105

Общее Метод распространения:
   • Нет собственной процедуры распространения

Псевдоним (alias):
   • Bitdefender: Trojan.KillAV.AV

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Отключение приложений безопасности
   • Создает вредоносные файлы
   • Снижает уровень настроек безопасности
   • Изменение реестра
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создаются собственные копии:
   • %SYSDIR%\%случайная буквенная комбинация%.exe
   • %SYSDIR%\%Двухбайтовый символ%.pif

Создается архив со своей собственной копией внутри:
   • %SYSDIR%\%Двухбайтовый символ%.zip

Создаются следующие файлы:

– %SYSDIR%\%случайная буквенная комбинация%.exe Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/KillAV.HF

– %SYSDIR%\%случайная буквенная комбинация%.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/KillAV.HE

Реестр Для загрузки службы после перезагрузки системы добавляются следующие ключи реестра.

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %случайная буквенная комбинация%]
   • Type = dword:00000010
   • Start = dword:00000002
   • ErrorControl = dword:00000001
   • ImagePath = %SYSDIR%\%случайная буквенная комбинация%.exe -service
   • DisplayName = %случайная буквенная комбинация%
   • ObjectName = LocalSystem
   • Description = %Двухбайтовый символ%

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %случайная буквенная комбинация%\
   Security]
   • Security = %шестнадцатиричное значение%

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %случайная буквенная комбинация%\
   Enum]
   • 0 = Root\\LEGACY_%случайная буквенная комбинация%\\0000
   • Count = dword:00000001
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_%случайная буквенная комбинация%]
   • NextInstance = dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_%случайная буквенная комбинация%\
   0000]
   • Service = %случайная буквенная комбинация%
   • Legacy = dword:00000001
   • ConfigFlags = dword:00000000
   • Class = LegacyDriver
   • ClassGUID = {8ECC055D-047F-11D1-A537-0000F8753ED1}
   • DeviceDesc = %случайная буквенная комбинация%

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_%случайная буквенная комбинация%\
   0000\Control]
   • *NewlyCreated* = dword:00000000
   • ActiveService = %случайная буквенная комбинация%

Удаляются значения следующих ключей реестра:

– [HKLM\SYSTEM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • DcomLaunch Servers
   • MSCTS
   • CONINE
   • VMST
   • MOUST
   • KVMonXP
   • KvXP

– [HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
   • KVMonXP
   • KvXP

– [HKLM\SYSTEM\ControlSet001\Control\Session Manager]
   • BootExecute

Удаляются все значения следующих ключей реестра и их подключей:
   • [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
   • [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network]
   • [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal]

Изменяются следующие ключи реестра:

– [HKLM\SOFTWARE\Microsoft\Windows NT]
   Новое значение:
   • ReportBootOk = dword:00000000

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Новое значение:
   • ReportBootOk = 0

– [HKLM\SOFTWARE\Microsoft\PCHealth\ErrorReporting]
   Новое значение:
   • DoReport = dword:00000000
   • ShowUI = dword:00000000

Завершение процесса Завершение процессов со следующими последовательностями в именах:
   • NOD32; Mcshield; qqkav; agentsvr; frogagent; kvxp; kvsrvxp; kregex;
      trojdie; kvcenter; kvmon; uihost; vsmon; vptray; rtvscan; Navap;
      Norton; Symantec; webscanx; vsstat; vshwin32; alogserv; avsynmgr;
      avconsol; Iparmor; KWatch; KPfwSvc; KMailMon; KavPFW; KAVStart;
      KAVSvc; KULANSyn; KPopMon; KWatchUI; KAVPlus; rfwsrv; RAVMON; rfwmain;
      RAVTIMER; RAV.exe; RavStub; Ravmond; CCENTER

Список завершаемых служб:
   • KVSrvXP_1
   • KVSrvXP
   • RsCCenter
   • SharedAccess

Backdoor Открывается порт:

– explorer.exe к произвольному TCP порту

Устанавливает соединение с сервером
Все последующие:
   • http://imkill.98link.com:88/**********
   • http://imkill.98link.com:89/**********

В результате может быть обеспечена пересылка информации и работа функции скрытого удаленного управления. Ответ сервера записывается в следующий файл: %SYSDIR%\update.web; %SYSDIR%\kgstfd.t

Передает информацию о:
    • Текущий malware статус.

Возможности удаленного контроля:
    • Загрузить файл
    • Запустить файл
    • Посещение веб-страницы

Инфицирование – Следующий файл вставляется в процесс: %SYSDIR%\%случайная буквенная комбинация%.dll

    Все следующие процессы:
   • winlogon.exe
   • explorer.exe

Данные файла Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Краткое описание см. здесь.

Описание добавлено: Andrei Gherman Tue, 28 Mar 2006 17:36 (GMT+1)
Описание обновлено: Andrei Gherman Thu, 30 Mar 2006 14:23 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back