Technical Information
Malicious functions:
To bypass firewall, removes or modifies the following registry keys:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
To complicate detection of its presence in the operating system,
blocks the following features:
- Windows Security Center
Executes the following:
- '<SYSTEM32>\taskkill.exe' /f /im alertsvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im alogserv.exe
- '<SYSTEM32>\taskkill.exe' /f /im amon.exe
- '<SYSTEM32>\taskkill.exe' /f /im ahnsd.exe
- '<SYSTEM32>\taskkill.exe' /f /im advxdwin.exe
- '<SYSTEM32>\taskkill.exe' /f /im agentsvr.exe
- '<SYSTEM32>\taskkill.exe' /f /im agv.exe
- '<SYSTEM32>\taskkill.exe' /f /im amon9x.exe
- '<SYSTEM32>\taskkill.exe' /f /im ants.exe
- '<SYSTEM32>\taskkill.exe' /f /im antssircam.exe
- '<SYSTEM32>\taskkill.exe' /f /im apimonitor.exe
- '<SYSTEM32>\taskkill.exe' /f /im antivirus.exe
- '<SYSTEM32>\taskkill.exe' /f /im amonavp32.exe
- '<SYSTEM32>\taskkill.exe' /f /im anti -trojan.exe
- '<SYSTEM32>\taskkill.exe' /f /im antivir.exe
- '<SYSTEM32>\taskkill.exe' /f /im ackwin32.exe
- '<SYSTEM32>\taskkill.exe' /f /im mghtml.exe
- '<SYSTEM32>\taskkill.exe' /f /im oasclnt.exe
- '<SYSTEM32>\taskkill.exe' /f /im mpfagent.exe
- '<SYSTEM32>\taskkill.exe' /f /im mcinfo.exe
- '<SYSTEM32>\taskkill.exe' /f /im mcdash.exe
- '<SYSTEM32>\taskkill.exe' /f /im mcdetect.exe
- '<SYSTEM32>\taskkill.exe' /f /im mcregwiz.exe
- '<SYSTEM32>\taskkill.exe' /f /im mpfconsole.exe
- '<SYSTEM32>\taskkill.exe' /f /im _avp32.exe
- '<SYSTEM32>\taskkill.exe' /f /im _avpcc.exe
- '<SYSTEM32>\taskkill.exe' /f /im _avpm.exe
- '<SYSTEM32>\taskkill.exe' /f /im mvtx.exe
- '<SYSTEM32>\taskkill.exe' /f /im mpfservice.exe
- '<SYSTEM32>\taskkill.exe' /f /im mpftray.exe
- '<SYSTEM32>\taskkill.exe' /f /im mpfwizard.exe
- '<SYSTEM32>\taskkill.exe' /f /im aplica32.exe
- '<SYSTEM32>\taskkill.exe' /f /im avnt.exe
- '<SYSTEM32>\taskkill.exe' /f /im avp.exe
- '<SYSTEM32>\taskkill.exe' /pid=3208
- '<SYSTEM32>\taskkill.exe' /f /im avkwctl9.exe
- '<SYSTEM32>\taskkill.exe' /f /im avkserv.exe
- '<SYSTEM32>\taskkill.exe' /f /im avkservice.exe
- '<SYSTEM32>\taskkill.exe' /f /im avkwcl9.exe
- '<SYSTEM32>\taskkill.exe' /f /im avp32.exe
- '<SYSTEM32>\taskkill.exe' /f /im avpdos32.exe
- '<SYSTEM32>\taskkill.exe' /f /im avpexec.exe
- '<SYSTEM32>\taskkill.exe' /f /im avpinst.exe
- '<SYSTEM32>\taskkill.exe' /f /im avpccavpm.exe
- '<SYSTEM32>\taskkill.exe' /f /im avpcc.exe
- '<SYSTEM32>\taskkill.exe' /f /im AVPCC Service.exe
- '<SYSTEM32>\taskkill.exe' /pid=3356
- '<SYSTEM32>\taskkill.exe' /f /im avkpop.exe
- '<SYSTEM32>\taskkill.exe' /f /im atupdater.exe
- '<SYSTEM32>\taskkill.exe' /f /im atwatch.exe
- '<SYSTEM32>\taskkill.exe' /f /im autodown.exe
- '<SYSTEM32>\taskkill.exe' /f /im atscan.exe
- '<SYSTEM32>\taskkill.exe' /f /im atcon.exe
- '<SYSTEM32>\taskkill.exe' /f /im atguard.exe
- '<SYSTEM32>\taskkill.exe' /f /im ats.exe
- '<SYSTEM32>\taskkill.exe' /f /im autotrace.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgctrl.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgserv9.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgserv9schedapp.exe
- '<SYSTEM32>\attrib.exe' /f /im avgcc32.exe
- '<SYSTEM32>\taskkill.exe' /f /im autoupdate.exe
- '<SYSTEM32>\taskkill.exe' /f /im avconsol.exe
- '<SYSTEM32>\taskkill.exe' /f /im ave32.exe
- '<SYSTEM32>\taskkill.exe' /f /im kpf4ss.exe
- '<SYSTEM32>\taskkill.exe' /f /im ashdisp.exe
- '<SYSTEM32>\taskkill.exe' /f /im ashmaisv.exe
- '<SYSTEM32>\taskkill.exe' /f /im ashserv.exe
- '<SYSTEM32>\taskkill.exe' /f /im ashwebsv.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgamsvr.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgupsvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgw.exe
- '<SYSTEM32>\taskkill.exe' /f /im aswupdsv.exe
- '<SYSTEM32>\taskkill.exe' /f /im mcafee.exe
- '<SYSTEM32>\taskkill.exe' /f /im mghml.exe
- '<SYSTEM32>\taskkill.exe' /f /im msiexec.exe
- '<SYSTEM32>\taskkill.exe' /f /im msmpeng.exe
- '<SYSTEM32>\taskkill.exe' /f /im ewidoctrl.exe
- '<SYSTEM32>\taskkill.exe' /f /im guard.exe
- '<SYSTEM32>\taskkill.exe' /f /im gcasdtserv.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgcc.exe
- '<SYSTEM32>\reg.exe' add "HKLM\software\microsoft\security center" /f /v AntiVirusDisableNotify /t REG_DWORD /d 1
- '<SYSTEM32>\netsh.exe' firewall set opmode mode = disable
- '<SYSTEM32>\net.exe' stop SharedAccess
- '<SYSTEM32>\reg.exe' add "HKLM\software\microsoft\security center" /f /v FirewallDisableNotify /t REG_DWORD /d 1
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\kis.bat" "
- '<SYSTEM32>\attrib.exe' +R +A +S +H kis.exe
- '<SYSTEM32>\attrib.exe' +R +A +S +H avguard.exe
- '<SYSTEM32>\net1.exe' stop SharedAccess
- '<SYSTEM32>\taskkill.exe' /f /im kav.exe
- '<SYSTEM32>\taskkill.exe' /f /im kavmm.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgemc.exe
- '<SYSTEM32>\taskkill.exe' /f /im nod32.exe
- '<SYSTEM32>\taskkill.exe' /f /im TeaTimer.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgas.exe
- '<SYSTEM32>\taskkill.exe' /f /im nod32krn.exe
- '<SYSTEM32>\taskkill.exe' /f /im outpost.exe
- '<SYSTEM32>\taskkill.exe' /f /im apvxdwin.exe
- '<SYSTEM32>\taskkill.exe' /f /im webproxy.exe
- '<SYSTEM32>\taskkill.exe' /f /im avguard.exe
- '<SYSTEM32>\taskkill.exe' /f /im avengine.exe
- '<SYSTEM32>\taskkill.exe' /f /im cpdclnt.exe
- '<SYSTEM32>\taskkill.exe' /f /im pavprsrv.exe
- '<SYSTEM32>\taskkill.exe' /f /im pavprot.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgnt.exe
- '<SYSTEM32>\taskkill.exe' /f /im spiderml.exe
- '<SYSTEM32>\taskkill.exe' /f /im sgmain.exe
- '<SYSTEM32>\taskkill.exe' /f /im kpf4gui.exe
- '<SYSTEM32>\taskkill.exe' /f /im sccomm.exe
- '<SYSTEM32>\attrib.exe' /pid=1720
- '<SYSTEM32>\attrib.exe' /f /im shed.exe
- '<SYSTEM32>\taskkill.exe' /f /im avsched32.exe
- '<SYSTEM32>\taskkill.exe' /f /im issvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im updclient.exe
- '<SYSTEM32>\taskkill.exe' /f /im ccapp.exe
- '<SYSTEM32>\taskkill.exe' /f /im navw32.exe
- '<SYSTEM32>\taskkill.exe' /f /im zlclient.exe
- '<SYSTEM32>\taskkill.exe' /f /im isafe.exe
- '<SYSTEM32>\taskkill.exe' /f /im minilog.exe
- '<SYSTEM32>\taskkill.exe' /f /im zonealarm.exe
- '<SYSTEM32>\taskkill.exe' /f /im norton.exe
- '<SYSTEM32>\taskkill.exe' /f /im npfmntor.exe
- '<SYSTEM32>\taskkill.exe' /f /im logexprt.exe
- '<SYSTEM32>\taskkill.exe' /f /im nisum.exe
- '<SYSTEM32>\taskkill.exe' /f /im ccevtmgr.exe
- '<SYSTEM32>\taskkill.exe' /f /im navapsvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im ccsetmgr.exe
- '<SYSTEM32>\taskkill.exe' /f /im cccproxy.exe
Injects code into
the following system processes:
- <SYSTEM32>\taskkill.exe
- <SYSTEM32>\netsh.exe
- <SYSTEM32>\attrib.exe
- <SYSTEM32>\net.exe
Terminates or attempts to terminate
the following user processes:
- AVGCTRL.EXE
- AVGCC32.EXE
- AVP.EXE
- AVPCC.EXE
- AVP32.EXE
- mpftray.exe
- avgcc.exe
- nod32.exe
- GUARD.EXE
- ZONEALARM.EXE
- outpost.exe
Modifies file system :
Creates the following files:
- %TEMP%\1.tmp\kis.bat
Miscellaneous:
Searches for the following windows:
- ClassName: '(null)' WindowName: '(null)'