Trojan.Win64.KILLAV.AB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina las claves de registro asociadas a programas antivirus. Esto permite que el malware ejecute sus rutinas sin ser detectado por los programas antivirus instalados.

Deshabilita los servicios antivirus. El objetivo es permitir a este malware ejecutar sus rutinas y evitar su eliminación del sistema.

Este malware se elimina tras la ejecución.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\__{Random Numbers}_{Random Numbers}.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Otras modificaciones del sistema

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Service Name}
Where {Service Name} can be:

• KAVFS
• ksnproxy
• KAVFSGT
• kavfsslp
• klnagent
• SAVService
• KAVFS
• kavfsslp
• klnagent
• KAVFSGT
• epag
• EPIntegrationService
• EPProtectedService
• EPRedline
• EPSecurityService
• EPUpdateService

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• Using the following commands:
  • taskkill /f /im {Process Name}
  
  Process Name:
  • macompatsvc.exe
  • mfemactl.exe
  • shstat.exe
  • mcconsol.exe
  • macmnsvc.exe
  • masvc.exe
  • mcshield.exe
  • mfemms.exe
  • AgentSvc.exe
  • PccNt.exe
  • PccNTMon.exe
  • NTRTScan.exe
  • kavtray.exe
  • kavfswp.exe
  • kavfswh.exe
  • kavfs.exe
  • ksnproxy.exe
  • kavfsgt.exe
  • klnagent.exe

Deshabilita los servicios antivirus finalizando los servicios siguientes si los encuentra en el sistema afectado:

• KAVFS
• ksnproxy
• KAVFSGT
• kavfsslp
• klnagent
• SAVService
• KAVFS
• kavfsslp
• klnagent
• KAVFSGT
• epag
• EPIntegrationService
• EPProtectedService
• EPRedline
• EPSecurityService
• EPUpdateService

Otros detalles

Hace lo siguiente:

• It adds the following Image File Execution Options to prevent certain files from executing:
  Registry Entry:
  
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\{Application Name}
    • Debugger = "%System%\svchost.exe"
      
  
  Where {Application Name} is:
  • 360bdoctor.exe
  • 360EntClient.exe
  • 360rp.exe
  • 360Safe.exe
  • 360sd.exe
  • 360tray.exe
  • AgentSvc.exe
  • ARWSRVC.EXE
  • ASDSvc.exe
  • aswEngSrv.exe
  • aswidsagent.exe
  • AvastSvc.exe
  • AvastUI.exe
  • avgsvca.exe
  • avgui.exe
  • avguix.exe
  • avgwdsvca.exe
  • avp.exe
  • avpmapp.exe
  • avpsus.exe
  • avpui.exe
  • bdredline.exe
  • ccSvcHst.exe
  • coreFrameworkHost.exe
  • coreServiceShell.exe
  • cyserver.exe
  • CyveraService.exe
  • ds_monitor.exe
  • dsa.exe
  • EconSer.exe
  • egui.exe
  • eguiProxy.exe
  • ekrn.exe
  • EMLPROXY.EXE
  • epag.exe
  • EPIntegrationService.exe
  • EPProtectedService.exe
  • EPSecurityService.exe
  • EPUpdateService.exe
  • ERAAgent.exe
  • hmpalert.exe
  • iVPAgent.exe
  • K7CrvSvc.exe
  • k7emlpxy.exe
  • k7fwsrvc.exe
  • k7rtscan.exe
  • k7tsecurity.exe
  • k7tsmngr.exe
  • k7twp.exe
  • kavfs.exe
  • kavfsgt.exe
  • kavfswh.exe
  • kavfswp.exe
  • kavtray.exe
  • klnagent.exe
  • klserver.exe
  • ksnproxy.exe
  • kwmusic.exe
  • macmnsvc.exe
  • macompatsvc.exe
  • masvc.exe
  • MBAMService.exe
  • mcconsol.exe
  • mcshield.exe
  • mfemactl.exe
  • mfemms.exe
  • MpCmdRun.exe
  • MsMpEng.exe
  • msseces.exe
  • NortonSecurity.exe
  • Notifier.exe
  • nsWscSvc.exe
  • NTRTScan.exe
  • onlinent.exe
  • opssvc.exe
  • PccNt.exe
  • PccNTMon.exe
  • PSANHost.exe
  • PSUAMain.exe
  • PSUAService.exe
  • QQPCRealTimeSpeedup.exe
  • QQPCRTP.exe
  • QQPCTray.exe
  • quhlpsvc.exe
  • qvod.exe
  • RAYCSER.EXE
  • RouterNT.exe
  • SAPISSVC.EXE
  • SavService.exe
  • SEDService.exe
  • sepWscSvc64.exe
  • shstat.exe
  • Sophos UI.exe
  • SophosFileScanner.exe
  • SophosFIMService.exe
  • SophosFS.exe
  • SophosNtpService.exe
  • SSPService.exe
  • SVRTgui.exe
  • SVRTservice.exe
  • tlaservice.exe
  • TMBMSRV.exe
  • TmCCSF.exe
  • TmListen.exe
  • TmPfw.exe
  • vapm.exe
  • winword.exe
  • ZhuDongFangYu.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Este malware se elimina tras la ejecución.