Win32.HLLP.Rox.10.origin

Добавлен в вирусную базу Dr.Web: 2019-07-23

Описание добавлено: 2019-07-22

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

Изменения в файловой системе

Создает следующие файлы

Присваивает атрибут 'скрытый' для следующих файлов

Сетевая активность

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%WINDIR%\syswow64\com\lsass.exe'
'%WINDIR%\syswow64\com\csrss.exe' %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\~.exe
'%WINDIR%\syswow64\com\csrss.exe' <SYSTEM32>\com\LSASS.EXE|C:\pagefile.pif
'%WINDIR%\syswow64\com\csrss.exe' <SYSTEM32>\com\LSASS.EXE|D:\pagefile.pif
'%WINDIR%\syswow64\com\csrss.exe' <SYSTEM32>\com\LSASS.EXE|E:\pagefile.pif
'%WINDIR%\syswow64\com\csrss.exe' <SYSTEM32>\com\LSASS.EXE|<Имя диска съемного носителя>:\pagefile.pif
'%WINDIR%\syswow64\com\csrss.exe' <SYSTEM32>\com\LSASS.EXE|G:\pagefile.pif
'%WINDIR%\syswow64\cacls.exe' <SYSTEM32>\com /e /t /g user:F' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q "<SYSTEM32>\com\CSRSS.EXE"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q "<SYSTEM32>\com\bak"' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' <SYSTEM32>\com\netcfg.dll /s' (со скрытым окном)

Запускает на исполнение