Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Win32.HLLW.Autoruner1.24072
Добавлен в вирусную базу Dr.Web:
2012-07-30
Описание добавлено:
2012-08-20
Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие файлы на съемном носителе:
<Имя диска съемного носителя>:\qbje.pif
<Имя диска съемного носителя>:\autorun.inf
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\Ramadhan Crypter V1.2c.exe' = '%TEMP%\Ramadhan Crypter V1.2c.exe:*:Enabled:ipsec'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует отображение:
блокирует:
Средство контроля пользовательских учетных записей (UAC)
Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
%TEMP%\Ramadhan Crypter V1.2c.exe
Внедряет код в
следующие системные процессы:
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
%TEMP%\winqaypbg.exe
%TEMP%\fluur.exe
%TEMP%\pdjw.exe
%TEMP%\winfschca.exe
%TEMP%\dtiwjp.exe
%TEMP%\hohto.exe
C:\ffywm.exe
<DRIVERS>\hfjnj.sys
%TEMP%\Ramadhan Crypter V1.2c.exe
%TEMP%\Ramadhan Crypter V1.2c.exe.nb5.tmp
C:\autorun.inf
%TEMP%\winyqwqdo.exe
%TEMP%\winpusxkc.exe
Присваивает атрибут 'скрытый' для следующих файлов:
<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\qbje.pif
C:\autorun.inf
C:\ffywm.exe
Удаляет следующие файлы:
%TEMP%\winqaypbg.exe
%TEMP%\fluur.exe
%TEMP%\hohto.exe
%TEMP%\winfschca.exe
%TEMP%\dtiwjp.exe
%TEMP%\pdjw.exe
%TEMP%\Ramadhan Crypter V1.2c.exe
%TEMP%\Ramadhan Crypter V1.2c.exe.nb5.tmp
<DRIVERS>\hfjnj.sys
%TEMP%\winyqwqdo.exe
%TEMP%\winpusxkc.exe
Сетевая активность:
Подключается к:
'www.sk######.#andomierz.opoka.org.pl':80
'si###ukil.com':80
'si####nholland.nl':80
'65.##0.68.134':80
'www.sn#.ac.th':80
'sm####ciates.org.in':80
TCP:
Запросы HTTP GET:
www.sk######.#andomierz.opoka.org.pl/images/logo.gif?52###########
si###ukil.com/images/logo.gif?52##########
si####nholland.nl/logos/logo.gif?52###########
65.##0.68.134/imgs/logo.gif?51##########
www.sn#.ac.th/img/logo.jpeg?51###########
sm####ciates.org.in/img/logo.gif?51###########
UDP:
DNS ASK si###ukil.com
DNS ASK si####nholland.nl
DNS ASK www.sk######.#andomierz.opoka.org.pl
DNS ASK www.sn#.ac.th
DNS ASK sm####ciates.org.in
Другое:
Ищет следующие окна:
ClassName: 'Shell_TrayWnd' WindowName: ''
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK