Trojan.AVKill.34970

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'KiSs' = '%WINDIR%\%USERNAME%\%USERNAME%.exe'

Создает или изменяет следующие файлы:

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

блокирует запуск следующих системных утилит:

Создает и запускает на исполнение:

'%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Csrss.exe'
'%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Services.exe'
'%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\BosS.Redhouane.exe'
'%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\smss.exe'
'%WINDIR%\%USERNAME%\%USERNAME%.exe'
'%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Killer.exe'
'%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Winlogon.exe'

Запускает на исполнение:

Завершает или пытается завершить

следующие системные процессы:

следующие пользовательские процессы:

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'DisableLocalMachineRun' = '00000000'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'NoRun' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'NoFolderOptions' = '00000001'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Csrss.exe
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\BosS.Redhouane.exe
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\smss.exe
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\%USERNAME%.exe
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Winlogon.exe
<SYSTEM32>\Ksar.inf
<SYSTEM32>\Meriem.bin
%WINDIR%\%USERNAME%\%USERNAME%.exe
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Services.exe
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Killer.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Services.exe
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Killer.exe
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\smss.exe
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Winlogon.exe
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\%USERNAME%.exe
%WINDIR%\%USERNAME%\%USERNAME%.exe
<SYSTEM32>\Meriem.bin
%HOMEPATH%\Start Menu\Programs\Startup\GoodBye.%USERNAME%.bat
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\Csrss.exe
%APPDATA%\Microsoft\Windows\%USERNAME%\Data\Security Settings\Antivirus\Scan\History\BosS.Redhouane.exe

Удаляет следующие файлы: