Security Lab

Trojan.Win32. Killav.br

Trojan.Win32. Killav.br

Троянская программа, выгружающая из памяти различные легальные программы.

Троянская программа, выгружающая из памяти различные легальные программы. Является приложением Windows (PE EXE-файл). Имеет размер 4608 байт.

Инсталляция

После запуска троянец создает в корневом каталоге Windows файл с именем mserv.exe и размером 6656 байт:

%Windir%/mserv.exe

Троянец создает следующие записи в системном реестре:

[HKLM\System\CurrentControlSet001\Enum\Root\LEGACY_ANEM]
 Service="anem"
 Legacy="dword:00000001"
 Class="LegacyDriver"
 DeviceDesc="mserv.exe"
name="doc3">Деструктивная активность

Троянец выгружает из памяти процессы, имена которых попадают в следующий список:

_AVP32.EXE
_AVPCC.EXE
_AVPM.EXE
AckWin32.exe
ACKWIN32.EXE
ALERTSVC.EXE
ALOGSERV.EXE
Anti-Trojan.exe
ANTS.EXE
ATCON.EXE
ATCON.EXE
ATUPDATER.EXE
ATWATCH.EXE
AutoDown.exe
AutoTrace.exe
AUTOUPDATE.EXE
AVCONSOL.EXE
AVGCC32.EXE
AVGCTRL.EXE
AVGSERV.EXE
AvkServ.exe
AVKSERV.EXE
AVP.EXE
AVP32.EXE
AVPCC.EXE
AVPM.EXE
AVSYNMGR.EXE
AVXMONITOR9X.EXE
AVXMONITOR9X.EXE
AVXMONITORNT.EXE
AVXQUAR.EXE
blackd.exe
blackice.exe
Claw95.exe
Claw95cf.exe
cleaner.exe
cleaner3.exe
cpd.exe
DEFWATCH.EXE
DOORS.EXE
F-AGNT95.EXE
FAST.EXE
F-PROT95.EXE
FRW.EXE
FRW.EXE
GUARD.EXE
GUARD.EXE
iamapp.exe
IAMAPP.EXE
iamserv.exe
IAMSERV.EXE
ICLOAD95.EXE
ICLOADNT.EXE
ICLOADNT.EXE
ICMON.EXE
ICSUPP95.EXE
ICSUPP95.EXE
ICSUPPNT.EXE
ICSUPPNT.EXE
IFACE.EXE
IFACE.EXE
IOMON98.EXE
ISRV95.EXE
JEDI.EXE
LOCKDOWN2000.EXE
LUCOMSERVER.EXE
MCAGENT.EXE
MCAGENT.EXE
Mcshield.exe
MCUPDATE.EXE
MCUPDATE.EXE
MINILOG.EXE
MONITOR.EXE
MOOLIVE.EXE
NAVAPW32.EXE
NAVAPW32.EXE
NAVAPW32.EXE
NavLu32.exe
NAVW32.EXE
Navw32.exe
NDD32.EXE
NeoWatchLog.exe
NeoWatchTray.exe
NISSERV
NISUM.EXE
NMAIN.EXE
NORMIST.EXE
notstart.exe
NPROTECT.EXE
NSCHED32.EXE
NTXconfig.exe
Nupgrade.exe
NVC95.EXE
NWService.exe
outpost.exe
PCCIOMON.EXE
PERSFW.EXE
POP3TRAP.EXE
POPROXY.EXE
REALMON95.EXE
Rescue.exe
RTVSCN95.EXE
Smc.exe
SPHINX.EXE
SPYXX.EXE
SPYXX.EXE
SS3EDIT.EXE
SS3EDIT.EXE
SWNETSUP.EXE
SymProxySvc.exe
SYNMGR.EXE
TAUMON.EXE
TC.EXE
tca.exe
TCA.EXE
TCM.EXE
TDS-3.EXE
TFAK.EXE
TFAK.EXE
TRJSCAN.EXE
VetTray.exe
VPTRAY.EXE
VSECOMR.EXE
VSHWIN32.EXE
VSHWIN32.EXE
VSMON.EXE
VSSTAT.EXE
VSSTAT.EXE
WATCHDOG.EXE
WebScanX.exe
WEBSCANX.EXE
WEBTRAP.EXE
WGFE95.EXE
WRADMIN.EXE
WrAdmin.exe
WRCTRL.EXE
WrCtrl.exe
WrCtrl.exe
ZATUTOR.EXE
ZAUINST.EXE
ZONEALARM.EXE

Другие названия
Trojan.Win32.Killav.br ( «Лаборатория Касперского» ) также известен как: MultiDropper-GP.d ( McAfee ),   Trojan dropper ( Symantec ),   Trojan.MulDrop.739 ( Doctor Web ),   Troj/Killav-A ( Sophos ),   Trojan:Win32/Killav.BR ( RAV ),   TROJ_KILLAV.BR ( Trend Micro ),   TR/Drop.Small.KD.2 ( H+BEDV ),   Win32:Trojan-gen. ( ALWIL ),   Trojan.Killav.BR ( SOFTWIN ),   Trojan.Killav.BR ( ClamAV ),   Trj/Killav.AI ( Panda ),   Win32/KillAV.BR ( Eset )

Ищем уязвимости в системе и новых подписчиков!

Первое — находим постоянно, второе — ждем вас

Эксплойтните кнопку подписки прямо сейчас