Win32.HLLW.Autoruner1.28791

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '%WINDIR%\winlogon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe] 'DEBUGGER' = '%WINDIR%\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%WINDIR%\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%WINDIR%\inetinfo.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'DEBUGGER' = '<SYSTEM32>\TIMPlatform.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe] 'DEBUGGER' = '<SYSTEM32>\TIMPlatform.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '%WINDIR%\inetinfo.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'DEBUGGER' = '%WINDIR%\inf\realplayer.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '<SYSTEM32>\TIMPlatform.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe] 'DEBUGGER' = '%WINDIR%\inetinfo.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '<SYSTEM32>\TIMPlatform.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%WINDIR%\inf\realplayer.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%WINDIR%\winlogon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'DEBUGGER' = '%WINDIR%\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '%WINDIR%\inf\realplayer.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'DEBUGGER' = '%WINDIR%\inetinfo.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\vmount3] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\vmount3] 'ImagePath' = '%WINDIR%\inf\realplayer.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\VMwareNATService] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Installer information] 'ImagePath' = '%PROGRAM_FILES%\Internet Explorer\iedws.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\lanmanworkstation2] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\lanmanworkstation2] 'ImagePath' = '%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\Installer information] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\VMAuthd Service] 'ImagePath' = '%WINDIR%\inetinfo.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\vds2] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\vds2] 'ImagePath' = '%WINDIR%\ctfmon.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\VMAuthd Service] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\VMwareNATService] 'ImagePath' = '<SYSTEM32>\TIMPlatform.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\VMnet DHCP] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\VMnet DHCP] 'ImagePath' = '%WINDIR%\winlogon.exe'

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\AutoRun.inf
<Имя диска съемного носителя>:\AUTOEXEC.EXE

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Создает и запускает на исполнение:

%WINDIR%\winlogon.exe
%WINDIR%\inetinfo.exe

Завершает или пытается завершить

следующие пользовательские процессы:

360tray.exe

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe
%PROGRAM_FILES%\Internet Explorer\iedws.exe
C:\AUTOEXEC.EXE
C:\AutoRun.inf
%WINDIR%\inf\realplayer.exe
%WINDIR%\ctfmon.exe
<Служебный элемент>
%WINDIR%\inetinfo.exe
<SYSTEM32>\TIMPlatform.exe
%WINDIR%\winlogon.exe

Присваивает атрибут 'скрытый' для следующих файлов:

C:\AUTOEXEC.EXE
C:\AutoRun.inf
%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe
<Полный путь к вирусу>
<Имя диска съемного носителя>:\AUTOEXEC.EXE
<Имя диска съемного носителя>:\AutoRun.inf
%WINDIR%\winlogon.exe
%WINDIR%\inetinfo.exe
%WINDIR%\ctfmon.exe
%PROGRAM_FILES%\Internet Explorer\iedws.exe
%WINDIR%\inf\realplayer.exe
<SYSTEM32>\TIMPlatform.exe

Удаляет следующие файлы:

%TEMP%\~DF5FB4.tmp
%TEMP%\~DFB116.tmp

Другое:

Ищет следующие окна:

ClassName: 'GxWindowClassD3d' WindowName: ''

Технології

Терміни

Навчання

Міфи

Техническая информация