Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Trojan.AVKill.35178
Добавлен в вирусную базу Dr.Web:
2014-03-08
Описание добавлено:
2014-09-04
Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
'%TEMP%\winkis_maxo\vius_ok\sekbit_data\Asekbit\DoBest\RegInI.exe' "sekbit_data\Asekbit\DoBest\RasLock\Trust.ini"
'%TEMP%\winkis_maxo\vius_ok\sekbit_data\Asekbit\DoBest\RegInI.exe' "sekbit_data\Asekbit\DoBest\RasLock\Uninst\UnRas.ini"
Запускает на исполнение:
'<SYSTEM32>\taskkill.exe' /f /im 360Tray.exe
'<SYSTEM32>\taskkill.exe' /f /im 360Safe.exe
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /f /v "DefaultLevel" /t REG_DWORD /d 262144
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /f /v "PolicyScope" /t REG_DWORD /d 0
'<SYSTEM32>\tasklist.exe'
'<SYSTEM32>\cacls.exe' "%APPDATA%\winsks_data" /c /t /p Everyone:f
'<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').popup('╝ь▓т╡╜360┴ў├е╬└╩┐бв─·▒╪╨ыб╛╣╪▒╒╗Є╨╢╘╪б┐360╔▒╢╛╚э╝■▓в╓╪╞Ї╝╞╦у╗·-╖╜┐╔╒¤│г╩╣╙├гб\n \n ▒╛╚э╝■╜л╘┌8├ы║є╫╘╗┘═╦│Ў',12,'б╛360б┐┴ў├е╬└╩┐:',16+4096);window.close();"
'<SYSTEM32>\find.exe' /i "360Tray.exe"
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /f /v "TransparentEnabled" /t REG_DWORD /d 1
'<SYSTEM32>\find.exe' /i "kxetray.exe"
'<SYSTEM32>\find.exe' /i "360sd.exe"
'<SYSTEM32>\find.exe' /i "QQPCTray.exe"
'<SYSTEM32>\find.exe' /i "KSafeTray.exe"
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /f /v "ExecutableTypes" /t REG_MULTI_SZ /d "ADE\0ADP\0BAS\0BAT\0CHM\0CMD\0COM\0CPL\0CRT\0EXE\0HLP\0HTA\0INF\0INS\0ISP\0LNK\0MDB\0MDE\0MSC\0MSI\0MSP\0MST\0OCX\0PCD\0PIF\0REG\0SCR\0SHS\0URL\0VB\0WSC"
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /f /v "AuthenticodeEnabled" /t REG_DWORD /d 1
'<SYSTEM32>\findstr.exe' /i "\deepscan$"
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\SystemCertificates\disallowed\Certificates\1E5BB77FCB63F26277F95AAE09B852699327A08A" /f /v "Blob" /t REG_BINARY /d 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
'<SYSTEM32>\attrib.exe' "%APPDATA%\SecMain" +s +h +r +a
'<SYSTEM32>\attrib.exe' "<SYSTEM32>\sekout" +s +h +r +a
'<SYSTEM32>\attrib.exe' "%APPDATA%\..\Local" +s +h +r +a
'<SYSTEM32>\attrib.exe' "%APPDATA%\KuTiansoft" +s +h +r +a
'<SYSTEM32>\attrib.exe' "%TEMP%\winkis_maxo" +s +h +r +a
'<SYSTEM32>\attrib.exe' "..\..\winkis_maxo" +s +h +r +a
'<SYSTEM32>\attrib.exe' "<SYSTEM32>\winsks" +s +h +r +a
'<SYSTEM32>\attrib.exe' "%APPDATA%\winsks_data" +s +h +r +a
'<SYSTEM32>\attrib.exe' "<Имя диска съемного носителя>:\akfc_data" +s +h +r +a
'<SYSTEM32>\cacls.exe' "%TEMP%\winkis_maxo" /d everyone
'<SYSTEM32>\cacls.exe' "..\..\winkis_maxo" /d everyone
'<SYSTEM32>\cacls.exe' "<SYSTEM32>\winsks" /d everyone
'<SYSTEM32>\cacls.exe' "%APPDATA%\winsks_data" /d everyone
'<SYSTEM32>\attrib.exe' "%APPDATA%\*fav*" -s -h -r -a /s /d
'<SYSTEM32>\attrib.exe' "sekbit_data\Invisible\*.*" +s +r +h /s
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\Locals~1\Applic~1\*bookmark*" -s -h -r -a /s /d
'<SYSTEM32>\attrib.exe' "%APPDATA%\..\Local\*bookmark*" -s -h -r -a /s /d
Завершает или пытается завершить
следующие пользовательские процессы:
Изменения в файловой системе:
Создает следующие файлы:
Присваивает атрибут 'скрытый' для следующих файлов:
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\LocalAppData\TaoBrowser\User Data\Default\Preferences
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\LocalAppData\liebao\User Data\Default\Preferences
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\ProgramFiles\360\360Safe\360ss2.dat
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\ProgramFiles\360\360Safe\deepscan\speedmem2.hg0
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\LocalAppData\2345Chrome\User Data\Default\Preferences
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\SogouExplorer\config.xml
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\LocalAppData\Google\Chrome\User Data\Default\Preferences
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\LocalAppData\360Chrome\Chrome\User Data\Default\Preferences
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\ProgramFiles\360\360sd\sl2.db
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\ProgramFiles\SekBrmas\setting.ini
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\ProgramFiles\ksafe\kusrtrst.dat
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\UsersAppData\Tencent\QQPCMgr\TrustArea.db
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\UsersAppData\Tencent\QQPCMgr\qmvext.db
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\ProgramFiles\kingsoft\kingsoft antivirus\ressrc\chs\uplive.svr
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\ProgramFiles\kingsoft\kingsoft antivirus\ressrc\chs\kcommon.ini
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\ProgramFiles\kingsoft\kingsoft antivirus\security\kxescan\kusrtrst.dat
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\ProgramFiles\kingsoft\kingsoft antivirus\security\kxescan\kusbcfg.ini
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\Baidu\browser\UserData\0A73B7929C9546628F097CEEACA6E079410064006d0069006e006900730074007200610074006f007200\userpref_v2
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\Baidu\browser\SysData\browserpref_v2
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\BlueView\setting.ini
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\Baidu\hao123Browser\UserData\0A73B7929C9546628F097CEEACA6E079410064006d0069006e006900730074007200610074006f007200\userpref_v2
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\360se\login.ini
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\2345Explorer\Users\Default\Default.cfg
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\360se6\User Data\Default\Preferences
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\360se6\apps\data\users\login.ini
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\Brmas\setting.ini
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\mybrowser\setting.ini
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\Mozilla\Firefox\Profiles\6hq8vmhx.default\prefs.js
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\SekBrmas\setting.ini
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\SecMain\Seckit\Bak\Tvirus.ras
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\Kingsoft\BroPlugVer.ini
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\gsie\setting.ini
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\Maxthon3\Users\guest\Config\config.dat
%TEMP%\winkis_maxo\vius_ok\sekbit_data\Invisible\Driver_Data\AppData\LanGuang\setting.ini
Удаляет следующие файлы:
Другое:
Ищет следующие окна:
ClassName: '' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK