Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Win32.HLLW.Autoruner1.56153
Добавлен в вирусную базу Dr.Web:
2013-09-15
Описание добавлено:
2013-09-15
Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Startup Scan' = '%WINDIR%\<Имя вируса>.exe/check'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run] 'TST' = '%WINDIR%\inf\<Имя вируса>.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run] 'TSystem' = '<SYSTEM32>\Restore\THole.exe'
Создает или изменяет следующие файлы:
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\Startup.exe
Создает следующие файлы на съемном носителе:
<Имя диска съемного носителя>:\SYS\SYS.exe
<Имя диска съемного носителя>:\Autorun.inf
<Имя диска съемного носителя>:\SYS\AAR.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
блокирует запуск следующих системных утилит:
Диспетчера задач (Taskmgr)
Запускает на исполнение:
'<SYSTEM32>\attrib.exe' /pid=1144
'<SYSTEM32>\attrib.exe' /pid=2576
'<SYSTEM32>\net1.exe' /pid=2680
'<SYSTEM32>\attrib.exe' /pid=2796
'<SYSTEM32>\attrib.exe' /pid=2620
'<SYSTEM32>\reg.exe' /pid=2840
'<SYSTEM32>\reg.exe' /pid=2500
'<SYSTEM32>\attrib.exe' /pid=2832
'<SYSTEM32>\attrib.exe' /pid=2720
'<SYSTEM32>\net1.exe' +S +H +R G:\SYS
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL /v CheckedValue /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL /v DefaultValue /t REG_DWORD /d 2 /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN /v CheckedValue /t REG_DWORD /d 2 /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN /v DefaultValue /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt /v UncheckedValue /t REG_DWORD /d 1 /f
'<SYSTEM32>\net1.exe' +S +H +R E:\SYS
'<SYSTEM32>\net1.exe' +S +H +R F:\SYS
'<SYSTEM32>\net1.exe' /pid=1720
'<SYSTEM32>\net1.exe' /pid=2692
'<SYSTEM32>\reg.exe' /pid=2860
'<SYSTEM32>\net1.exe' +S +H +R Y:\SYS
'<SYSTEM32>\net1.exe' /pid=3936
'<SYSTEM32>\net1.exe' +S +H +R N:\SYS
'<SYSTEM32>\net1.exe' +S +H +R X:\SYS
'<SYSTEM32>\net1.exe' /pid=3968
'<SYSTEM32>\net1.exe' /pid=3780
'<SYSTEM32>\attrib.exe' /pid=412
'<SYSTEM32>\net1.exe' +S +H +R <SYSTEM32>\Restore\THole.exe
'<SYSTEM32>\attrib.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 0 /f
'<SYSTEM32>\attrib.exe' stop "zvregmon"
'<SYSTEM32>\net1.exe' /pid=3528
'<SYSTEM32>\net1.exe' /pid=3492
'<SYSTEM32>\reg.exe' /pid=2736
'<SYSTEM32>\net1.exe' /pid=3008
'<SYSTEM32>\net1.exe' /pid=1608
'<SYSTEM32>\attrib.exe' stop "acssrv"
'<SYSTEM32>\attrib.exe' stop "scanwscs"
'<SYSTEM32>\attrib.exe' stop "Online Protection System"
'<SYSTEM32>\attrib.exe' stop "Core Mail Protection"
'<SYSTEM32>\net1.exe' stop "acssrv"
'<SYSTEM32>\net1.exe' stop "scanwscs"
'<SYSTEM32>\net1.exe' stop "Quick Update Service"
'<SYSTEM32>\net1.exe' stop "Core Mail Protection"
'<SYSTEM32>\net1.exe' stop "ZeroVProtect"
'<SYSTEM32>\attrib.exe' +S +H +R E:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R F:\SYS
'<SYSTEM32>\net1.exe' stop "zvregmon"
'<SYSTEM32>\attrib.exe' +S +H +R <Имя диска съемного носителя>:\SYS
'<SYSTEM32>\net.exe' stop "zvregmon"
'<SYSTEM32>\net.exe' stop "Quick Update Service"
'<SYSTEM32>\net.exe' stop "Core Mail Protection"
'<SYSTEM32>\net.exe' STOP acssrv
'<SYSTEM32>\net.exe' stop "Online Protection System"
'<SYSTEM32>\net.exe' stop "acssrv"
'<SYSTEM32>\net.exe' stop "ZeroVProtect"
'<SYSTEM32>\net1.exe' stop "Online Protection System"
'<SYSTEM32>\net.exe' stop "scanwscs"
'<SYSTEM32>\net1.exe' STOP acssrv
'<SYSTEM32>\attrib.exe' +S +H +R G:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R <SYSTEM32>\com\THole.exe
'<SYSTEM32>\attrib.exe' +S +H +R %WINDIR%\inf\<Имя вируса>.exe
'<SYSTEM32>\attrib.exe' +S +H +R Z:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R <SYSTEM32>\Restore\THole.exe
'<SYSTEM32>\attrib.exe' +S +H +R %HOMEPATH%\<Имя вируса>.exe
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden /v CheckedValue /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden /v UncheckedValue /t REG_DWORD /d 0 /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 0 /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
'<SYSTEM32>\attrib.exe' +S +H +R Y:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R J:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R K:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R H:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R I:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R L:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R N:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R X:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R M:\SYS
'<SYSTEM32>\attrib.exe' +S +H +R M:\Autorun.inf
Внедряет код в
следующие системные процессы:
<SYSTEM32>\attrib.exe
<SYSTEM32>\reg.exe
<SYSTEM32>\net.exe
<SYSTEM32>\net1.exe
Изменения в файловой системе:
Создает следующие файлы:
<SYSTEM32>\Com\THole.exe
<SYSTEM32>\Restore\Thole.exe
%WINDIR%\WINDOWS.exe
%WINDIR%\<Имя вируса>.exe
%ALLUSERSPROFILE%\Start Menu\Programs\NudeFuck.exe
%WINDIR%\inf\<Имя вируса>.exe
C:\RECYCLER\RECYCLER.exe
C:\Documents and Settings\Documents and Settings.exe
<Текущая директория>\bf32d3b0.exe
%PROGRAM_FILES%\Program Files.exe
<Служебный элемент>
C:\Far2\Far2.exe
Присваивает атрибут 'скрытый' для следующих файлов:
%WINDIR%\inf\<Имя вируса>.exe
<SYSTEM32>\Com\THole.exe
<SYSTEM32>\Restore\Thole.exe
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK