Win32.HLLW.Phorpiex.221

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\] 'Microsoft Windows Manager' = '%WINDIR%\M-505076092760247692762946920\winmgr.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run\] 'Microsoft Windows Manager' = '%WINDIR%\M-505076092760247692762946920\winmgr.exe'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\deviceconfigmanager.vbs
<Имя диска съемного носителя>:\digest.rdf
<Имя диска съемного носителя>:\middaugh_keynote.pptx
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx
<Имя диска съемного носителя>:\waterresourcesag.pptx
<Имя диска съемного носителя>:\writingcompletesarnarrative_1103.ppt
<Имя диска съемного носителя>:\metac.ppt
<Имя диска съемного носителя>:\ppswamp.ppt
<Имя диска съемного носителя>:\file1.ppt
<Имя диска съемного носителя>:\background.png
<Имя диска съемного носителя>:\breakpoint.png
<Имя диска съемного носителя>:\dissolveanother.png
<Имя диска съемного носителя>:\calibre.png
<Имя диска съемного носителя>:\block.png
<Имя диска съемного носителя>:\tunpersonalca1.pem
<Имя диска съемного носителя>:\ck_ugo.pem
<Имя диска съемного носителя>:\delongcacert.pem
<Имя диска съемного носителя>:\bc01.pdf
<Имя диска съемного носителя>:\7790_preview.pdf
<Имя диска съемного носителя>:\dualectls.pdf
<Имя диска съемного носителя>:\clip_480_5sec_6mbps_h264.mp4
<Имя диска съемного носителя>:\d0068197bb5a41fea16a220c45390606.mp4
<Имя диска съемного носителя>:\video_1.mp4
<Имя диска съемного носителя>:\51.mp4
<Имя диска съемного носителя>:\spanner.mov
<Имя диска съемного носителя>:\elvisimp.rdf
<Имя диска съемного носителя>:\schema.rdf
<Имя диска съемного носителя>:\skos.rdf
<Имя диска съемного носителя>:\swc_2009-03-02.rdf
<Имя диска съемного носителя>:\fiche_inscription_2015.zip
<Имя диска съемного носителя>:\price030215.zip
<Имя диска съемного носителя>:\excel_example.zip
<Имя диска съемного носителя>:\1sm_price.zip
<Имя диска съемного носителя>:\national_autism_preparation_programs.xlsx
<Имя диска съемного носителя>:\cee_mmsprogram_summary_public.xlsx
<Имя диска съемного носителя>:\suspendedcompanies.xlsx
<Имя диска съемного носителя>:\highly_cited_2001.xlsx
<Имя диска съемного носителя>:\trtf_matrix2012_oct.xlsx
<Имя диска съемного носителя>:\disclosuredetails.xlsx
<Имя диска съемного носителя>:\2013_finalsummaryforweb.xlsx
<Имя диска съемного носителя>:\contractualdeadlines.xls
<Имя диска съемного носителя>:\removedtitles_records.xls
<Имя диска съемного носителя>:\1sm_price.xls
<Имя диска съемного носителя>:\excel_example.xls
<Имя диска съемного носителя>:\babyboymaintoscenesbackground.wmv
<Имя диска съемного носителя>:\passport_pal.wmv
<Имя диска съемного носителя>:\babyboymaintonotesbackground_pal.wmv
<Имя диска съемного носителя>:\flower_trans_matte.wmv
<Имя диска съемного носителя>:\fungalnameauthors.rtf
<Имя диска съемного носителя>:\pandp.rtf
<Имя диска съемного носителя>:\phytoremediation.rtf
<Имя диска съемного носителя>:\waterlandhealthkano.rtf
<Имя диска съемного носителя>:\static_electricity_easy_and_quick_activities.rtf
<Имя диска съемного носителя>:\taxus_baccata.rdf
<Имя диска съемного носителя>:\sioc.rdf
<Имя диска съемного носителя>:\removedtitles_records.zip
<Имя диска съемного носителя>:\scan.mov
<Имя диска съемного носителя>:\firefly1.mov
<Имя диска съемного носителя>:\parnas_01.jpg
<Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
<Имя диска съемного носителя>:\nwfieldnotes1966.docx
<Имя диска съемного носителя>:\adhd_and_obesity.docx
<Имя диска съемного носителя>:\holycrosschurchinstructions.docx
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\contoso_1.cer
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\tileimage.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\_\deviceconfigmanager.exe
<Имя диска съемного носителя>:\.lnk
<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx
<Имя диска съемного носителя>:\sdszfo.docx
<Имя диска съемного носителя>:\utorrent.exe
<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe
<Имя диска съемного носителя>:\2.jpg
<Имя диска съемного носителя>:\210252809.jpg
<Имя диска съемного носителя>:\pushkin.jpeg
<Имя диска съемного носителя>:\13.jpeg
<Имя диска съемного носителя>:\210252809.jpeg
<Имя диска съемного носителя>:\4f0bf7ff71f28.jpeg
<Имя диска съемного носителя>:\168.jpeg
<Имя диска съемного носителя>:\api-hashmap.html
<Имя диска съемного носителя>:\trivial-merge.html
<Имя диска съемного носителя>:\browse.html
<Имя диска съемного носителя>:\ituneshelpunavailable.html
<Имя диска съемного носителя>:\about.html
<Имя диска съемного носителя>:\ituneshelpunavailable.htm
<Имя диска съемного носителя>:\adadsi.html
<Имя диска съемного носителя>:\about.htm
<Имя диска съемного носителя>:\browse.htm
<Имя диска съемного носителя>:\trivial-merge.htm
<Имя диска съемного носителя>:\tree_view.htm
<Имя диска съемного носителя>:\advice_process.htm
<Имя диска съемного носителя>:\64bit_notes.htm
<Имя диска съемного носителя>:\chromesetup.exe
<Имя диска съемного носителя>:\notepad.exe
<Имя диска съемного носителя>:\tcm851ax32.exe
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe
<Имя диска съемного носителя>:\wrar520.exe
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\pushkin.jpg
<Имя диска съемного носителя>:\productos.zip

Вредоносные функции

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра

[<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\M-505076092760247692762946920\winmgr.exe' = '%WINDIR%\M-5...

Внедряет код в

следующие пользовательские процессы:

winmgr.exe

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\m-505076092760247692762946920\winmgr.exe
%TEMP%\otwqsdhsmq.bat
C:\deviceconfigmanager.vbs
C:\autorun.inf
C:\.lnk
C:\_\deviceconfigmanager.exe
D:\deviceconfigmanager.vbs
D:\autorun.inf
D:\.lnk
D:\_\deviceconfigmanager.exe

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\m-505076092760247692762946920\winmgr.exe
C:\deviceconfigmanager.vbs
C:\autorun.inf
C:\_\deviceconfigmanager.exe
D:\deviceconfigmanager.vbs
D:\autorun.inf
D:\_\deviceconfigmanager.exe
<Имя диска съемного носителя>:\deviceconfigmanager.vbs
<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\_\deviceconfigmanager.exe

Самоудаляется.

Сетевая активность

Подключается к

'22#.#81.87.80':5050
'go#####osrsohgsri.ru':5050

TCP

Запросы HTTP GET

http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP

DNS ASK go#####osrsohgsri.ru
DNS ASK oa#####oeohuanoen.ru
DNS ASK ou#####uebfkiurufiu.ru

Другое

Создает и запускает на исполнение

'%WINDIR%\m-505076092760247692762946920\winmgr.exe'
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\otwqsdhsmq.bat" "' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\otwqsdhsmq.bat" "

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация