Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Win32.HLLW.Autoruner2.7535
Добавлен в вирусную базу Dr.Web:
2014-02-19
Описание добавлено:
2014-02-20
Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVP.EXE] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\pctsgui.exe] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\VPTRAY.EXE] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVGNT.EXE] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\pctstray.exe] 'debugger' = 'notepad'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\svchost.com'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\fdisk.com'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ashdisp.exe] 'debugger' = 'notepad'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '%TEMP%\svchost.com'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'User Agent' = '<SYSTEM32>\fdisk.com'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'User Agent' = '%TEMP%\svchost.com'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HotKey' = '%HOMEPATH%\Templates\cache\SFCsrvc.pif'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HotKey' = '%HOMEPATH%\Templates\cache\SFCsrvc.pif'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe <SYSTEM32>\fdisk.com'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\USBGUARD.EXE] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe] 'debugger' = 'notepad'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmc.exe] 'debugger' = 'notepad'
Создает или изменяет следующие файлы:
%HOMEPATH%\Start Menu\Programs\Startup\sndvol32.exe
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\sndvol32.exe
Создает следующие файлы на съемном носителе:
<Имя диска съемного носителя>:\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\temp.db
<Имя диска съемного носителя>:\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\tmp.db
<Имя диска съемного носителя>:\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\desktop.ini
<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\Thumbs.db
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
скрытых файлов
расширений файлов
блокирует запуск следующих системных утилит:
Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)
Создает и запускает на исполнение:
'%TEMP%\svchost.com' keep_fucking
'%TEMP%\svchost.com'
Завершает или пытается завершить
следующие пользовательские процессы:
Изменяет следующие настройки проводника Windows (Windows Explorer):
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NofolderOptions' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
%TEMP%\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\temp.db
%HOMEPATH%\Templates\cache\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\temp.db
C:\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\desktop.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\dcb[1]
%HOMEPATH%\Templates\cache\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\tmp.db
C:\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\tmp.db
C:\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\temp.db
%TEMP%\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\tmp.db
%HOMEPATH%\Templates\cache\SFCsrvc.pif
%HOMEPATH%\Templates\cache\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\desktop.ini
%TEMP%\svchost.com
%TEMP%\$RECYCLE.BIN\{5F229C11-5039-40E4-8537-6950BB1C9ECC}\desktop.ini
C:\autorun.inf
C:\Thumbs.db
%HOMEPATH%\Templates\cache\desktop.ini
<SYSTEM32>\fdisk.com
Присваивает атрибут 'скрытый' для следующих файлов:
C:\Thumbs.db
C:\autorun.inf
<Имя диска съемного носителя>:\Thumbs.db
<Имя диска съемного носителя>:\autorun.inf
%HOMEPATH%\Start Menu\Programs\Startup\sndvol32.exe
%HOMEPATH%\Templates\cache\SFCsrvc.pif
%TEMP%\svchost.com
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\sndvol32.exe
<SYSTEM32>\fdisk.com
Сетевая активность:
Подключается к:
'ne#####m.isa-geek.org':80
'ht###.ath.cx':80
TCP:
Запросы HTTP GET:
ht###.ath.cx/Files/test.tits
ht###.ath.cx/Files/dcb
UDP:
DNS ASK ne#####m.isa-geek.org
DNS ASK ht###.ath.cx
DNS ASK pr###.just.edu.jo
Другое:
Ищет следующие окна:
ClassName: 'Indicator' WindowName: '(null)'
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK