Analizzato da: Roland Marco Dela Paz   

 

Microsoft : Trojan:VBS/Killav.D; Kaspersky : Trojan.VBS.KillAV.ae

 Piattaforma:

Windows 2000, Windows XP, Windows Server 2003

 Valutazione del rischio complessivo:
 Potenziale dannoso: :
 Potenziale di distribuzione: :
 Reported Infection:
Basso
Medio
Alto
Critico

  • Tipo di minaccia informatica:
    Trojan

  • Distruttivo?:
    No

  • Crittografato?:
    No

  • In the wild::

  Panoramica e descrizione

Cambia la página de inicio de Internet Explorer del usuario a un determinado sitio Web. Esta acción permite que el malware dirija a un sitio Web que contiene malware y aumente el riesgo de infección de malware del equipo afectado.

  Dettagli tecnici

Dimensione file: 75,221 bytes
Tipo di file: VBS
Residente in memoria: No
Data di ricezione campioni iniziali: 07 dicembre 2010

Detalles de entrada

Puede haberse descargado desde los sitios remotos siguientes:

  • 222

Instalación

Infiltra los archivos siguientes:

  • %Windows%\search.reg - reg data file component
  • %Windows%\.reg - reg data file component
  • %Windows%\SetWindowsIndex.reg - reg data file component
  • %Windows%\MYShowIeLinkIe6.reg - reg data file component
  • %Windows%\MyShowIeLinkIe7.reg - reg data file component
  • %Windows%\AddRight.reg - reg data file component
  • %System Root%\Documents and Settings\All Users\Desktop\{random}.tt - non-malicious file
  • %System Root%\Documents and Settings\All Users\Desktop\{garbage characters}.bt - non-malicious file
  • %System Root%\Documents and Settings\All Users\Start Menu\Programs\Internet Explorer.css - non-malicious file
  • %System Root%\Documents and Settings\All Users\Start Menu\Programs\Startup\360vbs.jse - non-malicious file
  • %Favorites%\{garbage characters}.url - non-malicious file
  • %Application Data%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.css - non-malicious file

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

. %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %Favorites% es la carpeta Favoritos del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Favorites, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Favoritos y en Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Favoritos).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

)

Crea las siguientes copias de sí mismo en el sistema afectado:

  • %Windows%\{random}.vbs

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\.bt

HKEY_CLASSES_ROOT\css

HKEY_CLASSES_ROOT\shb

HKEY_CLASSES_ROOT\tt

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\MenuExt\{garbage characters}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
FileExts\.bt

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
FileExts\.tt

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Desktop\NameSpace\{871C5380-42A0-1069-A2EA-08002B30309A}

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden1 = 2

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
ITBar7Layout = {hex values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
{B580CF65-E151-49C3-B73F-70B13FCA8E86} = {hex values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
{F2CF5485-4E02-4F68-819C-B92DE9277049} = {hex values}

Modifica las siguientes entradas de registro:

HKEY_CLASSES_ROOT\.css
@ = css

(Note: The default value data of the said registry entry is CSSfile.)

HKEY_CLASSES_ROOT\.shb
@ = shb

(Note: The default value data of the said registry entry is DocShortcut.)

HKEY_CLASSES_ROOT\http\shell\
open\command
@ = "C:\Program Files\Internet Explorer\iexplore.exe" http://dianxin.online.cq.cn/api/http/index.htm? %1

(Note: The default value data of the said registry entry is "C:\Program Files\Internet Explorer\iexplore.exe" -nohome.)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar
LinksFolderName = Á´½Ó

(Note: The default value data of the said registry entry is Links.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(Note: The default value data of the said registry entry is 1.)

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Cambia la página de inicio de Internet Explorer del usuario a los siguientes sitios Web:

  • http://www.{BLOCKED}g1234.com/?my=0

  Soluzioni

Motore di scansione minimo: 8.900
Primo file di pattern VSAPI: 07.686.05
Data di pubblicazione del primo pattern VSAPI: 07 dicembre 2010

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como VBS_KILLAV.AID En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


Sondaggio