Win32.HLLW.Autoruner2.49372

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ntfsmgr' = '"%ProgramFiles%\Java\jre1.8.0_45\bin\javaw.exe" -jar "%APPDATA%\aawpnuxhej.txt"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '0IDR124VF6' = '"%APPDATA%\LUScphFpLW.js"'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\luscphfplw.js
<SYSTEM32>\tasks\skype

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\luscphfplw.js
<Имя диска съемного носителя>:\about.htm.lnk
<Имя диска съемного носителя>:\ituneshelpunavailable.htm.lnk
<Имя диска съемного носителя>:\iisstart.htm.lnk
<Имя диска съемного носителя>:\advice_process.htm.lnk
<Имя диска съемного носителя>:\64bit_notes.htm.lnk
<Имя диска съемного носителя>:\alert.html.lnk
<Имя диска съемного носителя>:\howto-index.html.lnk
<Имя диска съемного носителя>:\api-hashmap.html.lnk
<Имя диска съемного носителя>:\tree_view.html.lnk
<Имя диска съемного носителя>:\iisstart.html.lnk
<Имя диска съемного носителя>:\ituneshelpunavailable.html.lnk
<Имя диска съемного носителя>:\4f0bf7ff71f28.jpeg.lnk
<Имя диска съемного носителя>:\1189.jpeg.lnk
<Имя диска съемного носителя>:\168.jpeg.lnk
<Имя диска съемного носителя>:\ff_ot_user_guide.pdf.lnk
<Имя диска съемного носителя>:\region-north-karelia.jpeg.lnk
<Имя диска съемного носителя>:\pushkin.jpeg.lnk
<Имя диска съемного носителя>:\168.jpg.lnk
<Имя диска съемного носителя>:\dag2_panel1_320_ref.mov.lnk
<Имя диска съемного носителя>:\scan.mov.lnk
<Имя диска съемного носителя>:\clip_480_5sec_6mbps_h264.mp4.lnk
<Имя диска съемного носителя>:\clip_1080_5sec_10mbps_h264.mp4.lnk
<Имя диска съемного носителя>:\video.mp4.lnk
<Имя диска съемного носителя>:\51.mp4.lnk
<Имя диска съемного носителя>:\video_1.mp4.lnk
<Имя диска съемного носителя>:\10thingscondoms.pdf.lnk
<Имя диска съемного носителя>:\7790_preview.pdf.lnk
<Имя диска съемного носителя>:\spib_pima.pdf.lnk
<Имя диска съемного носителя>:\winmine.exe.lnk
<Имя диска съемного носителя>:\parnas_01.jpeg.lnk
<Имя диска съемного носителя>:\chromesetup.exe.lnk
<Имя диска съемного носителя>:\contoso.cer.lnk
<Имя диска съемного носителя>:\delete.avi.lnk
<Имя диска съемного носителя>:\split.avi.lnk
<Имя диска съемного носителя>:\correct.avi.lnk
<Имя диска съемного носителя>:\join.avi.lnk
<Имя диска съемного носителя>:\archer.avi.lnk
<Имя диска съемного носителя>:\dashborder_96.bmp.lnk
<Имя диска съемного носителя>:\tileimage.bmp.lnk
<Имя диска съемного носителя>:\dialmap.bmp.lnk
<Имя диска съемного носителя>:\coffee.bmp.lnk
<Имя диска съемного носителя>:\toolbar.bmp.lnk
<Имя диска съемного носителя>:\dashborder_144.bmp.lnk
<Имя диска съемного носителя>:\contosoroot.cer.lnk
<Имя диска съемного носителя>:\contoso_1.cer.lnk
<Имя диска съемного носителя>:\testcertificate.cer.lnk
<Имя диска съемного носителя>:\utorrent.exe.lnk
<Имя диска съемного носителя>:\pmd.cer.lnk
<Имя диска съемного носителя>:\lisp_success.doc.lnk
<Имя диска съемного носителя>:\508softwareandos.doc.lnk
<Имя диска съемного носителя>:\applicantform_en.doc.lnk
<Имя диска съемного носителя>:\fi51.doc.lnk
<Имя диска съемного носителя>:\cveuropeo.doc.lnk
<Имя диска съемного носителя>:\nwfieldnotes1966.docx.lnk
<Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx.lnk
<Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx.lnk
<Имя диска съемного носителя>:\glidescope_review_rev_010.docx.lnk
<Имя диска съемного носителя>:\sdszfo.docx.lnk
<Имя диска съемного носителя>:\skypesetup.exe.lnk
<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe.lnk
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe.lnk
<Имя диска съемного носителя>:\2015-02-patients-topic-work-related-asthma-jobs.pdf.lnk

Вредоносные функции

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\cmd.exe
<SYSTEM32>\xcopy.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\luscphfplw.js
%APPDATA%\oracle\lib\plugin.jar
%APPDATA%\oracle\lib\psfont.properties.ja
%APPDATA%\oracle\lib\psfontj2d.properties
%APPDATA%\oracle\lib\resources.jar
%APPDATA%\oracle\lib\rt.jar
%APPDATA%\oracle\lib\sound.properties
%APPDATA%\oracle\lib\tzdb.dat
%APPDATA%\oracle\lib\tzmappings
%APPDATA%\oracle\lib\amd64\jvm.cfg
%APPDATA%\oracle\lib\cmm\ciexyz.pf
%APPDATA%\oracle\lib\cmm\gray.pf
%APPDATA%\oracle\lib\cmm\linear_rgb.pf
%APPDATA%\oracle\lib\cmm\pycc.pf
%APPDATA%\oracle\lib\cmm\srgb.pf
%APPDATA%\oracle\lib\deploy\ffjcext.zip
%APPDATA%\oracle\lib\deploy\messages.properties
%APPDATA%\oracle\lib\deploy\messages_de.properties
%APPDATA%\oracle\lib\deploy\messages_es.properties
%APPDATA%\oracle\lib\deploy\messages_fr.properties
%APPDATA%\oracle\lib\deploy\messages_it.properties
%APPDATA%\oracle\lib\deploy\messages_ja.properties
%APPDATA%\oracle\lib\net.properties
%APPDATA%\oracle\lib\deploy\messages_ko.properties
%APPDATA%\oracle\lib\meta-index
%APPDATA%\oracle\lib\logging.properties
%APPDATA%\oracle\bin\server\classes.jsa
%APPDATA%\oracle\bin\server\jvm.dll
%APPDATA%\oracle\bin\server\xusage.txt
%APPDATA%\oracle\lib\accessibility.properties
%APPDATA%\oracle\lib\calendars.properties
%APPDATA%\oracle\lib\charsets.jar
%APPDATA%\oracle\lib\classlist
%APPDATA%\oracle\lib\content-types.properties
%APPDATA%\oracle\lib\currency.data
%APPDATA%\oracle\lib\deploy.jar
%APPDATA%\oracle\lib\flavormap.properties
%APPDATA%\oracle\lib\fontconfig.bfc
%APPDATA%\oracle\lib\fontconfig.properties.src
%APPDATA%\oracle\lib\hijrah-config-umalqura.properties
%APPDATA%\oracle\lib\javafx.properties
%APPDATA%\oracle\lib\javaws.jar
%APPDATA%\oracle\lib\jce.jar
%APPDATA%\oracle\lib\jfr.jar
%APPDATA%\oracle\lib\jfxswt.jar
%APPDATA%\oracle\lib\jsse.jar
%APPDATA%\oracle\lib\jvm.hprof.txt
%APPDATA%\oracle\lib\management-agent.jar
%APPDATA%\oracle\lib\deploy\messages_pt_br.properties
%APPDATA%\oracle\lib\deploy\messages_sv.properties
%APPDATA%\oracle\lib\deploy\messages_zh_cn.properties
%APPDATA%\oracle\lib\images\cursors\win32_copydrop32x32.gif
%APPDATA%\oracle\lib\images\cursors\win32_copynodrop32x32.gif
%APPDATA%\oracle\lib\images\cursors\win32_linkdrop32x32.gif
%APPDATA%\oracle\lib\images\cursors\win32_linknodrop32x32.gif
%APPDATA%\oracle\lib\images\cursors\win32_movedrop32x32.gif
%APPDATA%\oracle\lib\images\cursors\win32_movenodrop32x32.gif
%APPDATA%\oracle\lib\jfr\default.jfc
%APPDATA%\oracle\lib\jfr\profile.jfc
%APPDATA%\oracle\lib\management\jmxremote.access
<SYSTEM32>\test.txt
%APPDATA%\oracle\lib\management\jmxremote.password.template
%APPDATA%\oracle\lib\management\snmp.acl.template
%APPDATA%\oracle\lib\security\blacklist
%APPDATA%\oracle\lib\security\blacklisted.certs
%APPDATA%\oracle\lib\security\cacerts
%APPDATA%\oracle\lib\security\java.policy
%APPDATA%\oracle\lib\security\java.security
%APPDATA%\oracle\lib\security\javaws.policy
%APPDATA%\oracle\lib\security\local_policy.jar
%APPDATA%\oracle\lib\security\us_export_policy.jar
%APPDATA%\oracle\lib\images\cursors\cursors.properties
%APPDATA%\oracle\lib\images\cursors\invalid32x32.gif
%APPDATA%\oracle\lib\fonts\lucidatypewriterregular.ttf
%APPDATA%\oracle\lib\fonts\lucidatypewriterbold.ttf
%APPDATA%\oracle\lib\fonts\lucidasansregular.ttf
%APPDATA%\oracle\lib\deploy\messages_zh_tw.properties
%APPDATA%\oracle\lib\deploy\splash.gif
%APPDATA%\oracle\lib\deploy\splash@2x.gif
%APPDATA%\oracle\lib\ext\access-bridge-64.jar
%APPDATA%\oracle\lib\ext\cldrdata.jar
%APPDATA%\oracle\lib\ext\dnsns.jar
%APPDATA%\oracle\lib\ext\jaccess.jar
%APPDATA%\oracle\lib\ext\jfxrt.jar
%APPDATA%\oracle\lib\ext\localedata.jar
%APPDATA%\oracle\bin\plugin2\npjp2.dll
%APPDATA%\oracle\lib\ext\nashorn.jar
%APPDATA%\oracle\lib\ext\meta-index
%APPDATA%\oracle\lib\ext\sunjce_provider.jar
%APPDATA%\oracle\lib\ext\sunmscapi.jar
%APPDATA%\oracle\lib\ext\sunpkcs11.jar
%APPDATA%\oracle\lib\ext\zipfs.jar
%APPDATA%\oracle\lib\fonts\lucidabrightdemibold.ttf
%APPDATA%\oracle\lib\fonts\lucidabrightdemiitalic.ttf
%APPDATA%\oracle\lib\fonts\lucidabrightitalic.ttf
%APPDATA%\oracle\lib\fonts\lucidabrightregular.ttf
%APPDATA%\oracle\lib\fonts\lucidasansdemibold.ttf
%APPDATA%\oracle\lib\deploy\messages_zh_hk.properties
%APPDATA%\oracle\lib\ext\sunec.jar
%APPDATA%\oracle\lib\management\management.properties
%APPDATA%\oracle\bin\plugin2\msvcr100.dll
%APPDATA%\oracle\bin\sunmscapi.dll
%APPDATA%\oracle\bin\gstreamer-lite.dll
%APPDATA%\oracle\bin\hprof.dll
%APPDATA%\oracle\bin\instrument.dll
%APPDATA%\oracle\bin\j2pcsc.dll
%APPDATA%\oracle\bin\j2pkcs11.dll
%APPDATA%\oracle\bin\jaas_nt.dll
%APPDATA%\oracle\bin\jabswitch.exe
%APPDATA%\oracle\bin\java-rmi.exe
%APPDATA%\oracle\bin\java.dll
%APPDATA%\oracle\bin\java.exe
%APPDATA%\oracle\bin\javaaccessbridge-64.dll
%APPDATA%\oracle\bin\javacpl.cpl
%APPDATA%\oracle\bin\javacpl.exe
%APPDATA%\oracle\bin\javafx_font.dll
%APPDATA%\oracle\bin\javafx_font_t2k.dll
%APPDATA%\oracle\bin\javafx_iio.dll
%APPDATA%\oracle\bin\javaw.exe
%APPDATA%\oracle\bin\javaws.exe
%APPDATA%\oracle\bin\java_crw_demo.dll
%APPDATA%\oracle\bin\jawt.dll
%APPDATA%\oracle\bin\jawtaccessbridge-64.dll
%APPDATA%\oracle\bin\glib-lite.dll
%APPDATA%\oracle\bin\jdwp.dll
%APPDATA%\oracle\bin\glass.dll
%APPDATA%\oracle\bin\fontmanager.dll
%APPDATA%\aawpnuxhej.txt
%TEMP%\_0.14650008456865366280768657995538937.class
%TEMP%\retrive6481870233570248856.vbs
%TEMP%\retrive1327713756248776268.vbs
%TEMP%\retrive4859711759297407080.vbs
%TEMP%\retrive5777150230160857426.vbs
%APPDATA%\oracle\copyright
%APPDATA%\oracle\license
%APPDATA%\oracle\readme.txt
%APPDATA%\oracle\release
%APPDATA%\oracle\thirdpartylicensereadme-javafx.txt
%APPDATA%\oracle\thirdpartylicensereadme.txt
%APPDATA%\oracle\welcome.html
%APPDATA%\oracle\bin\awt.dll
%APPDATA%\oracle\bin\bci.dll
%APPDATA%\oracle\bin\dcpr.dll
%APPDATA%\oracle\bin\decora_sse.dll
%APPDATA%\oracle\bin\deploy.dll
%APPDATA%\oracle\bin\dt_shmem.dll
%APPDATA%\oracle\bin\dt_socket.dll
%APPDATA%\oracle\bin\eula.dll
%APPDATA%\oracle\bin\fxplugins.dll
%APPDATA%\oracle\bin\jfr.dll
%APPDATA%\oracle\bin\jfxmedia.dll
%APPDATA%\oracle\bin\jfxwebkit.dll
%APPDATA%\oracle\bin\prism_es2.dll
%APPDATA%\oracle\bin\prism_sw.dll
%APPDATA%\oracle\bin\resource.dll
%APPDATA%\oracle\bin\rmid.exe
%APPDATA%\oracle\bin\rmiregistry.exe
%APPDATA%\oracle\bin\servertool.exe
%APPDATA%\oracle\bin\splashscreen.dll
%APPDATA%\oracle\bin\ssv.dll
%APPDATA%\oracle\bin\ssvagent.exe
%APPDATA%\oracle\bin\dtplugin\deployjava1.dll
%APPDATA%\oracle\bin\sunec.dll
%APPDATA%\oracle\bin\t2k.dll
%APPDATA%\oracle\bin\tnameserv.exe
%APPDATA%\oracle\bin\unpack.dll
%APPDATA%\oracle\bin\unpack200.exe
%APPDATA%\oracle\bin\verify.dll
%APPDATA%\oracle\bin\w2k_lsa_auth.dll
%APPDATA%\oracle\bin\windowsaccessbridge-64.dll
%APPDATA%\oracle\bin\wsdetect.dll
%APPDATA%\oracle\bin\zip.dll
%APPDATA%\oracle\bin\prism_common.dll
%APPDATA%\oracle\bin\prism_d3d.dll
%APPDATA%\oracle\bin\policytool.exe
%APPDATA%\oracle\bin\pack200.exe
%APPDATA%\oracle\bin\orbd.exe
%APPDATA%\oracle\bin\jli.dll
%APPDATA%\oracle\bin\jp2iexp.dll
%APPDATA%\oracle\bin\jp2launcher.exe
%APPDATA%\oracle\bin\jp2native.dll
%APPDATA%\oracle\bin\jp2ssv.dll
%APPDATA%\oracle\bin\jpeg.dll
%APPDATA%\oracle\bin\jsdt.dll
%APPDATA%\oracle\bin\jsound.dll
%APPDATA%\oracle\bin\jsoundds.dll
%APPDATA%\oracle\bin\dtplugin\npdeployjava1.dll
%APPDATA%\oracle\bin\keytool.exe
%APPDATA%\oracle\bin\kcms.dll
%APPDATA%\oracle\bin\klist.exe
%APPDATA%\oracle\bin\ktab.exe
%APPDATA%\oracle\bin\lcms.dll
%APPDATA%\oracle\bin\management.dll
%APPDATA%\oracle\bin\mlib_image.dll
%APPDATA%\oracle\bin\msvcr100.dll
%APPDATA%\oracle\bin\net.dll
%APPDATA%\oracle\bin\nio.dll
%APPDATA%\oracle\bin\npt.dll
%APPDATA%\oracle\bin\jjs.exe
%APPDATA%\oracle\bin\kinit.exe
%HOMEPATH%\futkaleatxm\id.txt

Присваивает атрибут 'скрытый' для следующих файлов

<Имя диска съемного носителя>:\luscphfplw.js

Удаляет следующие файлы

%TEMP%\retrive1327713756248776268.vbs
%TEMP%\retrive4859711759297407080.vbs
%TEMP%\retrive6481870233570248856.vbs
%TEMP%\retrive5777150230160857426.vbs

Сетевая активность

UDP

DNS ASK un#####soft.hopto.org

Другое

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' "%APPDATA%\LUScphFpLW.js"
'<SYSTEM32>\cscript.exe' %TEMP%\Retrive1327713756248776268.vbs
'<SYSTEM32>\cscript.exe' %TEMP%\Retrive6481870233570248856.vbs
'<SYSTEM32>\cscript.exe' %TEMP%\Retrive4859711759297407080.vbs
'<SYSTEM32>\cscript.exe' %TEMP%\Retrive5777150230160857426.vbs
'<SYSTEM32>\schtasks.exe' /create /sc minute /mo 30 /tn Skype /tr "%APPDATA%\LUScphFpLW.js' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\java\jre1.8.0_45\bin\javaw.exe' -jar "%APPDATA%\aawpnuxhej.txt"
'<SYSTEM32>\schtasks.exe' /create /sc minute /mo 30 /tn Skype /tr "%APPDATA%\LUScphFpLW.js
'%ProgramFiles%\java\jre1.8.0_45\bin\java.exe' -jar %TEMP%\_0.14650008456865366280768657995538937.class
'<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive6481870233570248856.vbs
'<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive1327713756248776268.vbs
'<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive4859711759297407080.vbs
'<SYSTEM32>\xcopy.exe' "%ProgramFiles%\Java\jre1.8.0_45" "%APPDATA%\Oracle\" /e
'<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive5777150230160857426.vbs
'<SYSTEM32>\cmd.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация