Win32.HLLW.Autoruner1.20416

Добавлен в вирусную базу Dr.Web: 2012-07-16

Описание добавлено: 2012-08-06

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\ULA7U9R4EU.exe' = '%APPDATA%\ULA7U9R4EU.exe:*:Enabled:Windows Messanger'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' = '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe:*:Enabled:Windows Messanger'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'

Запускает на исполнение:

<SYSTEM32>\reg.exe ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe" /t REG_SZ /d "%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe:*:Enabled:Windows Messanger" /f
<SYSTEM32>\reg.exe ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%APPDATA%\ULA7U9R4EU.exe" /t REG_SZ /d "%APPDATA%\ULA7U9R4EU.exe:*:Enabled:Windows Messanger" /f
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe
<SYSTEM32>\reg.exe ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f

Изменения в файловой системе:

Создает следующие файлы:

Сетевая активность:

Подключается к:

UDP: