Trojan.Win64.KILLAV.AB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Registrierungsschlüssel von Antiviren-Programmen. Dadurch kann diese Malware ihre Routinen unentdeckt von Antiviren-Programmen ausführen.

Deaktiviert Antiviren-Dienste. Dadurch kann diese Malware ihre Routinen ausführen und vermeiden, vom System entfernt zu werden.

Löscht sich nach der Ausführung selbst.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\__{Random Numbers}_{Random Numbers}.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Andere Systemänderungen

Löscht die folgenden Registrierungsschlüssel von Antiviren- und Sicherheitsanwendungen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Service Name}
Where {Service Name} can be:

• KAVFS
• ksnproxy
• KAVFSGT
• kavfsslp
• klnagent
• SAVService
• KAVFS
• kavfsslp
• klnagent
• KAVFSGT
• epag
• EPIntegrationService
• EPProtectedService
• EPRedline
• EPSecurityService
• EPUpdateService

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• Using the following commands:
  • taskkill /f /im {Process Name}
  
  Process Name:
  • macompatsvc.exe
  • mfemactl.exe
  • shstat.exe
  • mcconsol.exe
  • macmnsvc.exe
  • masvc.exe
  • mcshield.exe
  • mfemms.exe
  • AgentSvc.exe
  • PccNt.exe
  • PccNTMon.exe
  • NTRTScan.exe
  • kavtray.exe
  • kavfswp.exe
  • kavfswh.exe
  • kavfs.exe
  • ksnproxy.exe
  • kavfsgt.exe
  • klnagent.exe

Deaktiviert Antiviren-Dienste durch Beenden der folgenden, auf dem betroffenen System gefundenen Dienste:

• KAVFS
• ksnproxy
• KAVFSGT
• kavfsslp
• klnagent
• SAVService
• KAVFS
• kavfsslp
• klnagent
• KAVFSGT
• epag
• EPIntegrationService
• EPProtectedService
• EPRedline
• EPSecurityService
• EPUpdateService

Andere Details

Es macht Folgendes:

• It adds the following Image File Execution Options to prevent certain files from executing:
  Registry Entry:
  
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\{Application Name}
    • Debugger = "%System%\svchost.exe"
      
  
  Where {Application Name} is:
  • 360bdoctor.exe
  • 360EntClient.exe
  • 360rp.exe
  • 360Safe.exe
  • 360sd.exe
  • 360tray.exe
  • AgentSvc.exe
  • ARWSRVC.EXE
  • ASDSvc.exe
  • aswEngSrv.exe
  • aswidsagent.exe
  • AvastSvc.exe
  • AvastUI.exe
  • avgsvca.exe
  • avgui.exe
  • avguix.exe
  • avgwdsvca.exe
  • avp.exe
  • avpmapp.exe
  • avpsus.exe
  • avpui.exe
  • bdredline.exe
  • ccSvcHst.exe
  • coreFrameworkHost.exe
  • coreServiceShell.exe
  • cyserver.exe
  • CyveraService.exe
  • ds_monitor.exe
  • dsa.exe
  • EconSer.exe
  • egui.exe
  • eguiProxy.exe
  • ekrn.exe
  • EMLPROXY.EXE
  • epag.exe
  • EPIntegrationService.exe
  • EPProtectedService.exe
  • EPSecurityService.exe
  • EPUpdateService.exe
  • ERAAgent.exe
  • hmpalert.exe
  • iVPAgent.exe
  • K7CrvSvc.exe
  • k7emlpxy.exe
  • k7fwsrvc.exe
  • k7rtscan.exe
  • k7tsecurity.exe
  • k7tsmngr.exe
  • k7twp.exe
  • kavfs.exe
  • kavfsgt.exe
  • kavfswh.exe
  • kavfswp.exe
  • kavtray.exe
  • klnagent.exe
  • klserver.exe
  • ksnproxy.exe
  • kwmusic.exe
  • macmnsvc.exe
  • macompatsvc.exe
  • masvc.exe
  • MBAMService.exe
  • mcconsol.exe
  • mcshield.exe
  • mfemactl.exe
  • mfemms.exe
  • MpCmdRun.exe
  • MsMpEng.exe
  • msseces.exe
  • NortonSecurity.exe
  • Notifier.exe
  • nsWscSvc.exe
  • NTRTScan.exe
  • onlinent.exe
  • opssvc.exe
  • PccNt.exe
  • PccNTMon.exe
  • PSANHost.exe
  • PSUAMain.exe
  • PSUAService.exe
  • QQPCRealTimeSpeedup.exe
  • QQPCRTP.exe
  • QQPCTray.exe
  • quhlpsvc.exe
  • qvod.exe
  • RAYCSER.EXE
  • RouterNT.exe
  • SAPISSVC.EXE
  • SavService.exe
  • SEDService.exe
  • sepWscSvc64.exe
  • shstat.exe
  • Sophos UI.exe
  • SophosFileScanner.exe
  • SophosFIMService.exe
  • SophosFS.exe
  • SophosNtpService.exe
  • SSPService.exe
  • SVRTgui.exe
  • SVRTservice.exe
  • tlaservice.exe
  • TMBMSRV.exe
  • TmCCSF.exe
  • TmListen.exe
  • TmPfw.exe
  • vapm.exe
  • winword.exe
  • ZhuDongFangYu.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Löscht sich nach der Ausführung selbst.