TROJ_AVRECON.NVP

Data de publicação: 18 março 2016

Plataforma:

Windows

Classificao do risco total:

Potencial de dano:

Potencial de distribuição:

infecção relatada:

Exposição das informações:

Baixo

Medium

Alto

Crítico

Tipo de grayware:
Trojan
Destrutivo:
Não
Criptografado:
Sim
In the Wild:
Sim

Visão geral

Canal de infecção: Aus dem Internet heruntergeladen

Ändert Registrierungseinträge, um die Einstellungen der Windows Firewall zu deaktivieren. Dadurch kann diese Malware ihre Routinen ausführen, ohne von der Windows Firewall entdeckt zu werden.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Detalhes técnicos

Tipo de compactação: 333,312 bytes

Tipo de arquivo: EXE

Residente na memória: Sim

Data de recebimento das amostras iniciais: 14 março 2016

Carga útil: Connects to URLs/IPs, Terminates processes

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

%Application Data%\Mozilla\svchoste.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgeführt zu werden:

svchost.exe
explorer.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Generic Host Process = "%Application Data%\Mozilla\svchoste.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
wowsys64datecheck = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Extensions
{extensions} = "0"

where {extensions} are as follows:

*.exe
*.dll
*.tmp

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Extensions
{extensions} = = "0"

where {extensions} are as follows:

*.exe
*.dll
*.tmp

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
{processes} = "0"

where {processes} are as follows:

svchost.exe
consent.exe
rundll32.exe
explorer.exe
spoolsv.exe
rgjdu.exe
afwqs.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Processes
{processes} = "0"

where {processes} are as follows:

svchost.exe
consent.exe
rundll32.exe
explorer.exe
spoolsv.exe
rgjdu.exe
afwqs.exe

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
WinNtM = "1"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
WinNtAv = "1"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
WinNtAr = "1"

Ändert die folgenden Registrierungseinträge, um die Einstellungen der Windows Firewall zu deaktivieren:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"