Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Win32.HLLW.Autoruner2.28540
Добавлен в вирусную базу Dr.Web:
2017-06-16
Описание добавлено:
2017-06-16
Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
%WINDIR%\Tasks\UpdateService.job
Вредоносные функции:
Запускает на исполнение:
'<SYSTEM32>\schtasks.exe' /Run /TN "UpdateService"
'%ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe' -t
'%ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe'
'<SYSTEM32>\schtasks.exe' /Create /RU SYSTEM /SC ONSTART /TN "UpdateService" /TR "\"%ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe\" -t"
'%TEMP%\tmp24895\setup.exe' -i "<Полный путь к файлу>"
'%ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe' -r "%TEMP%\tmp24895\setup.exe"
'<SYSTEM32>\schtasks.exe' /Delete /TN "UpdateService" /F
Изменения в файловой системе:
Создает следующие файлы:
C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\QXU5K3IN\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\ELAP0JQH\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\Z8ISUUSM\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\History\History.IE5\index.dat
C:\Documents and Settings\NetworkService\Cookies\index.dat
C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\612YIERO\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\index.dat
%ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe
%TEMP%\tmp24895\setup.exe.config
%TEMP%\tmp24895\setup.exe
%ALLUSERSPROFILE%\Application Data\UpdateService\settings.dat
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\bfc45be78e3dbebbe07312063157ea50_23ef5514-3059-436f-a4a7-4cefaab20eb1
%ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe.config
Присваивает атрибут 'скрытый' для следующих файлов:
C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\QXU5K3IN\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\612YIERO\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\Z8ISUUSM\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\ELAP0JQH\desktop.ini
Удаляет следующие файлы:
%TEMP%\tmp24895\setup.exe
Самоудаляется.
Сетевая активность:
Подключается к:
'hr###voin.ru':80
'me####proxy.com.ua':80
'wp#d':80
'ua###.com.ua':80
TCP:
Запросы HTTP GET:
http://11#.#11.111.1/wpad.dat via wp#d
Запросы HTTP POST:
http://me####proxy.com.ua/wp-admin/wp-log.php?ur###############
http://hr###voin.ru/wp-info.php?ur###############
http://ua###.com.ua/sass/ie/style.php?ur###############
UDP:
DNS ASK me####proxy.com.ua
DNS ASK bs#n.ru
DNS ASK hr###voin.ru
DNS ASK wp#d
DNS ASK ua###.com.ua
Другое:
Ищет следующие окна:
ClassName: '' WindowName: '37bf1adeba324dfe890cca40530636c5'
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK