Win32.HLLW.Autoruner1.14984

Добавлен в вирусную базу Dr.Web: 2012-04-23

Описание добавлено: 2012-05-14

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'egui' = '%WINDIR%\p3e.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'pc3enter' = '<Имя диска съемного носителя>:\p3e.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'pc3enter' = 'c:\p3e.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'nood32' = '%WINDIR%\p3e.exe'

Создает следующие файлы на съемном носителе:

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\tskill.exe msconfig
<SYSTEM32>\tskill.exe gpedit.msc
<SYSTEM32>\tskill.exe egui
<SYSTEM32>\tskill.exe regedit
%WINDIR%\explorer.exe <Текущая директория>
<SYSTEM32>\wbem\wmic.exe /OUTPUT:<Текущая директория>\ProcessList.txt PROCESS get Caption,Commandline,Processid
<SYSTEM32>\tskill.exe cmd

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

Присваивает атрибут 'скрытый' для следующих файлов:

Другое:

Ищет следующие окна: