Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Win32.HLLW.Autoruner2.5761
Добавлен в вирусную базу Dr.Web:
2014-02-06
Описание добавлено:
2014-02-08
Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%TEMP%\rundll.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,%APPDATA%\hostsvc.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '%APPDATA%\hostsvc.exe'
Создает следующие файлы на съемном носителе:
<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\Sys.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)
блокирует:
Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
'%TEMP%\rundll.exe'
'%APPDATA%\hostsvc.exe'
'%TEMP%\rundll.sfx.exe' -pfudencoded -d%HOMEPATH%\Local Settings\Temp
'%TEMP%\hostsvc.sfx.exe' -pfudencoded -d%HOMEPATH%\Local Settings\Temp
'%TEMP%\hostsvc.exe'
Запускает на исполнение:
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\Local Settings\Temp" +s +h
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 1 /f
'<SYSTEM32>\attrib.exe' "%TEMP%\hostsvc.exe" +s +h
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\run.bat" "
'<SYSTEM32>\notepad.exe'
Внедряет код в
следующие системные процессы:
Завершает или пытается завершить
следующие пользовательские процессы:
outpost.exe
bdagent.exe
chrome.exe
AVP.EXE
Изменения в файловой системе:
Создает следующие файлы:
%HOMEPATH%\My Documents\Downloads\MSN-crack.exe
%HOMEPATH%\My Documents\Downloads\MSN Gaming Zone-crack.exe
%HOMEPATH%\My Documents\Downloads\NetMeeting-crack.exe
%HOMEPATH%\My Documents\Downloads\MSBuild-crack.exe
%HOMEPATH%\My Documents\Downloads\microsoft frontpage-crack.exe
%HOMEPATH%\My Documents\Downloads\Microsoft.NET-crack.exe
%HOMEPATH%\My Documents\Downloads\Movie Maker-crack.exe
%HOMEPATH%\My Documents\Downloads\Online Services-crack.exe
%HOMEPATH%\My Documents\Downloads\Windows NT-crack.exe
%HOMEPATH%\My Documents\Downloads\WindowsUpdate-crack.exe
%HOMEPATH%\My Documents\Downloads\xerox-crack.exe
%HOMEPATH%\My Documents\Downloads\Windows Media Player-crack.exe
%HOMEPATH%\My Documents\Downloads\Outlook Express-crack.exe
%HOMEPATH%\My Documents\Downloads\Reference Assemblies-crack.exe
%HOMEPATH%\My Documents\Downloads\Uninstall Information-crack.exe
%APPDATA%\hostsvc.exe
%TEMP%\rundll.exe
C:\Sys.exe
%TEMP%\hostsvc.exe
%TEMP%\run.bat
%TEMP%\rundll.sfx.exe
%TEMP%\hostsvc.sfx.exe
C:\autorun.inf
%HOMEPATH%\My Documents\Downloads\FireFox-crack.exe
%HOMEPATH%\My Documents\Downloads\Internet Explorer-crack.exe
%HOMEPATH%\My Documents\Downloads\Messenger-crack.exe
%HOMEPATH%\My Documents\Downloads\ComPlus Applications-crack.exe
\Device\LanmanRedirector\CRNJEUFU\Program Settings\winadmin-setup.exe
C:\Program Settings\winadmin-setup.exe
%HOMEPATH%\My Documents\Downloads\Common Files-crack.exe
Присваивает атрибут 'скрытый' для следующих файлов:
<Имя диска съемного носителя>:\Sys.exe
<Имя диска съемного носителя>:\autorun.inf
C:\autorun.inf
%APPDATA%\hostsvc.exe
C:\Sys.exe
Удаляет следующие файлы:
Сетевая активность:
Подключается к:
'wp#d':80
'au######on.whatismyip.com':80
'fu#####ded.no-ip.biz':80
'localhost':445
TCP:
Запросы HTTP GET:
au######on.whatismyip.com/n09230945.asp
wp#d/wpad.dat
UDP:
DNS ASK au######on.whatismyip.com
DNS ASK wp#d
DNS ASK fu#####ded.no-ip.biz
Другое:
Ищет следующие окна:
ClassName: '#32770' WindowName: '(null)'
ClassName: 'SysListView32' WindowName: '(null)'
ClassName: '#32770' WindowName: ''
ClassName: '#32770' WindowName: '<Служебное имя>'
ClassName: 'EDIT' WindowName: '(null)'
ClassName: 'Shell_TrayWnd' WindowName: '(null)'
ClassName: 'Indicator' WindowName: '(null)'
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK