Win32.HLLW.Ressdt.115

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwmain.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\GFUpd.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\GuardField.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavStub.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwsrv.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwProxy.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwstub.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kwatch.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RAV.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASARP.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kmailmon.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Runiep.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVPFW.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kavstart.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HijackThis.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFW.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojDie.KXP] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AutoRun.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kav32.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kissvc.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPfwSvc.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ArSwp.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SREngLdr.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RSTray.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Trojanwall.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojanDetector.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQDoctor.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AvMonitor.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVP.COM] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVSrvXP.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonxp.KXP] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Iparmor.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360safe.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run] 'internetnet' = '<SYSTEM32>\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVP.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safeboxTray.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360safebox.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Regedit.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WOPTILITIES.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ast.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AutoRunKiller.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ANTIARP.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\VPTRAY.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\VPC32.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Nod32kui.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Navapsvc.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVWSC.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32krn.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Mmsk.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Frameworkservice.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRegEx.EXE] 'debugger' = '<SYSTEM32>\dllcache\wuauclt.exe'

Изменяет следующие исполняемые системные файлы:

<SYSTEM32>\dllcache\wuauclt.exe
<DRIVERS>\beep.sys

Подменяет следующие исполняемые системные файлы:

<SYSTEM32>\wuauclt.exe

Заражает следующие исполняемые файлы:

<SYSTEM32>\wuauclt.exe
<DRIVERS>\beep.sys

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\HXSP.PIF
<Имя диска съемного носителя>:\AUTORUN.INF

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Создает и запускает на исполнение:

'C:\Documents and Settings\5.pif'
'C:\Documents and Settings\9.pif'
'C:\Documents and Settings\4.pif'
'C:\Documents and Settings\7.pif'
'C:\Documents and Settings\8.pif'
'C:\Documents and Settings\6.pif'
'C:\Documents and Settings\10.pif'
'C:\Documents and Settings\2.pif'
'C:\Documents and Settings\1.pif'
'C:\Documents and Settings\3.pif'
'C:\Documents and Settings\9.pif' (загружен из сети Интернет)
'C:\Documents and Settings\10.pif' (загружен из сети Интернет)
'C:\Documents and Settings\8.pif' (загружен из сети Интернет)
'C:\Documents and Settings\7.pif' (загружен из сети Интернет)
'C:\Documents and Settings\3.pif' (загружен из сети Интернет)
'C:\Documents and Settings\2.pif' (загружен из сети Интернет)
'C:\Documents and Settings\1.pif' (загружен из сети Интернет)
'C:\Documents and Settings\6.pif' (загружен из сети Интернет)
'C:\Documents and Settings\5.pif' (загружен из сети Интернет)
'C:\Documents and Settings\4.pif' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\cacls.exe' <SYSTEM32>\wanpacket.dll /e /p everyone:f
'<SYSTEM32>\cacls.exe' <DRIVERS>\acpidisk.sys /e /p everyone:f
'%ProgramFiles%\Internet Explorer\IEXPLORE.EXE'
'<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\ЎёїЄКјЎ№ІЛµҐ\іМРт\Жф¶Ї /e /p everyone:f
'<SYSTEM32>\cacls.exe' <SYSTEM32>\npptools.dll /e /p everyone:f
'<SYSTEM32>\cacls.exe' <SYSTEM32>\pthreadVC.dll /e /p everyone:f
'<SYSTEM32>\cacls.exe' <SYSTEM32>\packet.dll /e /p everyone:f
'<SYSTEM32>\cacls.exe' <DRIVERS>\npf.sys /e /p everyone:f
'<SYSTEM32>\cacls.exe' <SYSTEM32>\wpcap.dll /e /p everyone:f

Завершает или пытается завершить

следующие пользовательские процессы:

AVP.EXE
360tray.exe

Устраняет перехваты фукнций в SSDT (System Service Descriptor Table).

Изменения в файловой системе:

Создает следующие файлы:

C:\Documents and Settings\6.pif
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\7[1].exe
C:\Documents and Settings\7.pif
C:\AUTORUN.INF
C:\HXSP.PIF
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\6[1].exe
C:\Documents and Settings\9.pif
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\10[1].exe
C:\Documents and Settings\10.pif
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\8[1].exe
C:\Documents and Settings\8.pif
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\9[1].exe
C:\Documents and Settings\5.pif
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\1[1].exe
C:\Documents and Settings\1.pif
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\2[1].exe
<SYSTEM32>\dsmdskmgrs.dll
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\x[1].gif
%ProgramFiles%\eff.pif
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\4[1].exe
C:\Documents and Settings\4.pif
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\5[1].exe
C:\Documents and Settings\2.pif
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\3[1].exe
C:\Documents and Settings\3.pif

Присваивает атрибут 'скрытый' для следующих файлов:

<Имя диска съемного носителя>:\AUTORUN.INF
<Имя диска съемного носителя>:\HXSP.PIF
C:\HXSP.PIF
<Полный путь к файлу>
C:\AUTORUN.INF

Удаляет следующие файлы:

<SYSTEM32>\mfc71.dll

Перемещает следующие системные файлы:

<SYSTEM32>\wuauclt.exe в C:\tttmm.tep

Сетевая активность:

Подключается к:

'x.##d6.com':80
'localhost':1038

TCP:

Запросы HTTP GET:

http://x.##d6.com/dd/7.exe
http://x.##d6.com/dd/6.exe
http://x.##d6.com/dd/8.exe
http://x.##d6.com/dd/10.exe
http://x.##d6.com/dd/9.exe
http://x.##d6.com/dd/5.exe
http://x.##d6.com/dd/1.exe
http://x.##d6.com/dd/x.gif
http://x.##d6.com/dd/2.exe
http://x.##d6.com/dd/4.exe
http://x.##d6.com/dd/3.exe

UDP:

DNS ASK x.##d6.com

Другое:

Ищет следующие окна:

ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'IEFrame' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация