Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Win32.HLLW.Autoruner.56849
Добавлен в вирусную базу Dr.Web:
2011-08-23
Описание добавлено:
2011-08-23
Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVP.EXE] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\pctsgui.exe] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\VPTRAY.EXE] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVGNT.EXE] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\pctstray.exe] 'debugger' = 'notepad'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '"%TEMP%\svchost.com"'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\fdisk.com'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ashdisp.exe] 'debugger' = 'notepad'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '"%TEMP%\svchost.com"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'User Agent' = '<SYSTEM32>\fdisk.com'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'User Agent' = '"%TEMP%\svchost.com"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HotKey' = '%HOMEPATH%\Templates\cache\vmx.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HotKey' = '%HOMEPATH%\Templates\cache\vmx.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe <SYSTEM32>\fdisk.com'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\USBGUARD.EXE] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmc.exe] 'debugger' = 'notepad'
Создает или изменяет следующие файлы:
%HOMEPATH%\Start Menu\Programs\Startup\sndvol32.exe
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\sndvol32.exe
Создает следующие файлы на съемном носителе:
<Имя диска съемного носителя>:\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\desktop.ini
<Имя диска съемного носителя>:\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\temp.db
<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\Thumbs.db
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
скрытых файлов
расширений файлов
блокирует запуск следующих системных утилит:
Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)
Завершает или пытается завершить
следующие пользовательские процессы:
Изменяет следующие настройки проводника Windows (Windows Explorer):
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NofolderOptions' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\dcb[1]
%HOMEPATH%\Templates\cache\vmx.exe
C:\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\desktop.ini
%HOMEPATH%\Templates\cache\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\temp.db
C:\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\temp.db
%TEMP%\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\temp.db
C:\Thumbs.db
%HOMEPATH%\Templates\cache\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\desktop.ini
%TEMP%\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\desktop.ini
%TEMP%\svchost.com
C:\autorun.inf
<SYSTEM32>\fdisk.com
%HOMEPATH%\Templates\cache\desktop.ini
Присваивает атрибут 'скрытый' для следующих файлов:
<Имя диска съемного носителя>:\autorun.inf
C:\Thumbs.db
%HOMEPATH%\Templates\cache\vmx.exe
<Имя диска съемного носителя>:\Thumbs.db
C:\autorun.inf
<SYSTEM32>\fdisk.com
%TEMP%\svchost.com
%HOMEPATH%\Start Menu\Programs\Startup\sndvol32.exe
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\sndvol32.exe
Сетевая активность:
Подключается к:
TCP:
Запросы HTTP GET:
ht###.ath.cx/Files/test.tits
ht###.ath.cx/Files/dcb
UDP:
DNS ASK ht###.ath.cx
DNS ASK pr###.just.edu.jo
Другое:
Ищет следующие окна:
ClassName: 'Indicator' WindowName: ''
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK