Win32.HLLW.Autoruner1.16127

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{H9I12RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}] 'stubpath' = ''

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\ВМ»Ї.bat
%WINDIR%\Tasks\wsock32.dll
%WINDIR%\Tasks\csrss.exe
%WINDIR%\Tasks\hackshen.vbs

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\GHOSTBAK.exe
<Имя диска съемного носителя>:\autorun.inf

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\npEce4DOhM.pif
%TEMP%\aIOgtp3ccW.pif
%TEMP%\QlUD8f8rHn.pif
%TEMP%\X4EllUx1O3.pif
%TEMP%\J8GqpzKmAH.pif
%TEMP%\DWVHcUlMsv.pif
%WINDIR%\Tasks\csrss.exe
%TEMP%\6jk4OPIAud.pif
%TEMP%\GLnNU7Y9AU.pif
%TEMP%\ANs50LmyjH.pif
%TEMP%\nbZd3Sqg7f.pif
%TEMP%\npEce4DOhM.pif (загружен из сети Интернет)
%TEMP%\nbZd3Sqg7f.pif (загружен из сети Интернет)
%TEMP%\X4EllUx1O3.pif (загружен из сети Интернет)
%TEMP%\QlUD8f8rHn.pif (загружен из сети Интернет)
%TEMP%\ANs50LmyjH.pif (загружен из сети Интернет)
%TEMP%\GLnNU7Y9AU.pif (загружен из сети Интернет)
%TEMP%\6jk4OPIAud.pif (загружен из сети Интернет)
%TEMP%\J8GqpzKmAH.pif (загружен из сети Интернет)
%TEMP%\DWVHcUlMsv.pif (загружен из сети Интернет)
%TEMP%\aIOgtp3ccW.pif (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\ipconfig.exe
<SYSTEM32>\cmd.exe /c c:\mfxixue.bat

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Завершает или пытается завершить

следующие пользовательские процессы:

360tray.exe

Изменения в файловой системе:

Создает следующие файлы:

%CommonProgramFiles%\Microsoft Shared\DW\1031\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1028\wsock32.dll
%TEMP%\npEce4DOhM.pif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\9[1].exe
<Служебный элемент>
C:\Far2\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1025\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DAO\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1033\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\3082\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\2052\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\MSInfo\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1040\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1036\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1042\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1041\wsock32.dll
C:\Far2\PluginSDK\wsock32.dll
C:\Far2\Plugins\WinSCP\wsock32.dll
C:\Far2\Plugins\WinSCP\windows\wsock32.dll
%TEMP%\DWVHcUlMsv.pif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\5[1].exe
C:\Far2\Plugins\WinSCP\resource\wsock32.dll
C:\Far2\Plugins\WinSCP\release\wsock32.dll
%TEMP%\aIOgtp3ccW.pif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\4[1].exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\6[1].exe
%TEMP%\X4EllUx1O3.pif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\7[1].exe
C:\Far2\PluginSDK\Headers.pas\wsock32.dll
C:\Far2\PluginSDK\Headers.c\wsock32.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\8[1].exe
%TEMP%\J8GqpzKmAH.pif
C:\Far2\Plugins\wsock32.dll
%TEMP%\QlUD8f8rHn.pif
%CommonProgramFiles%\Microsoft Shared\Speech\1033\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\_vti_bin\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\_vti_bin\_vti_aut\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\isapi\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\isapi\_vti_aut\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\_vti_bin\_vti_adm\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\servsupp\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\wsock32.dll
%CommonProgramFiles%\ODBC\wsock32.dll
%CommonProgramFiles%\ODBC\Data Sources\wsock32.dll
%CommonProgramFiles%\SpeechEngines\Microsoft\Lexicon\1033\wsock32.dll
%CommonProgramFiles%\Services\wsock32.dll
%CommonProgramFiles%\MSSoap\Binaries\Resources\wsock32.dll
%CommonProgramFiles%\MSSoap\Binaries\Resources\1033\wsock32.dll
%CommonProgramFiles%\MSSoap\wsock32.dll
%CommonProgramFiles%\MSSoap\Binaries\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\isapi\_vti_adm\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\Triedit\wsock32.dll
%TEMP%\nbZd3Sqg7f.pif
%CommonProgramFiles%\Microsoft Shared\VGX\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\VC\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\Stationery\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\Speech\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\TextConv\wsock32.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\10[1].exe
%CommonProgramFiles%\Microsoft Shared\Web Folders\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\bin\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\bin\1033\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\bots\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\bots\vinavbar\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\admcgi\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\admcgi\scripts\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\admisapi\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\admisapi\scripts\wsock32.dll
C:\Far2\Plugins\WinSCP\putty\wsock32.dll
C:\Far2\Plugins\Colorer\hrc\wsock32.dll
C:\Far2\Plugins\Colorer\hrc\auto\wsock32.dll
C:\Far2\Plugins\Colorer\hrd\console\wsock32.dll
C:\Far2\Plugins\Colorer\hrd\console\contrib\wsock32.dll
C:\Far2\Plugins\Brackets\wsock32.dll
C:\Far2\Plugins\AutoWrap\wsock32.dll
C:\Far2\Plugins\Colorer\hrc\auto\types\wsock32.dll
C:\Far2\Plugins\Colorer\bin\wsock32.dll
C:\Far2\Plugins\Colorer\hrd\wsock32.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\3[1].exe
C:\Far2\Plugins\EMenu\wsock32.dll
%TEMP%\6jk4OPIAud.pif
C:\Far2\Plugins\ExtSearch\doc\wsock32.dll
C:\Far2\Plugins\Compare\wsock32.dll
C:\Far2\Plugins\Colorer\wsock32.dll
C:\Far2\Plugins\EditCase\wsock32.dll
C:\Far2\Plugins\DrawLine\wsock32.dll
C:\Far2\Plugins\arclite\wsock32.dll
C:\Far2\Addons\SetUp\wsock32.dll
C:\Far2\Addons\Macros\wsock32.dll
C:\Far2\Addons\XLat\Russian\wsock32.dll
C:\Far2\Addons\Shell\wsock32.dll
C:\Far2\Addons\Colors\Custom Highlighting\wsock32.dll
C:\mfxixue.bat
C:\Far2\Addons\Colors\wsock32.dll
C:\Far2\Addons\Colors\Default Highlighting\wsock32.dll
C:\Far2\Addons\XLat\wsock32.dll
C:\Far2\FExcept\wsock32.dll
C:\Far2\Encyclopedia\wsock32.dll
C:\Far2\Plugins\Align\wsock32.dll
C:\Far2\Plugins\7-Zip\wsock32.dll
C:\Far2\Documentation\eng\wsock32.dll
C:\Far2\Addons\wsock32.dll
C:\Far2\Documentation\wsock32.dll
C:\Far2\Documentation\rus\wsock32.dll
C:\Far2\Plugins\ExtSearch\keys\wsock32.dll
C:\Far2\Plugins\WinSCP\lib\wsock32.dll
C:\Far2\Plugins\WinSCP\forms\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\filemng\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\dragndrop\wsock32.dll
C:\Far2\Plugins\WinSCP\fari\wsock32.dll
C:\Far2\Plugins\WinSCP\far\wsock32.dll
C:\Far2\Plugins\WinSCP\filezilla\wsock32.dll
C:\Far2\Plugins\WinSCP\filezilla\misc\wsock32.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\2[1].exe
C:\Far2\Plugins\WinSCP\packages\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\theme\wsock32.dll
C:\Far2\Plugins\WinSCP\putty\windows\wsock32.dll
C:\Far2\Plugins\WinSCP\putty\charset\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\my\wsock32.dll
%TEMP%\ANs50LmyjH.pif
C:\Far2\Plugins\WinSCP\packages\tbx\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\tb2k\wsock32.dll
C:\Far2\Plugins\WinSCP\dragext\wsock32.dll
C:\Far2\Plugins\FTP\lib\wsock32.dll
C:\Far2\Plugins\FileCase\wsock32.dll
C:\Far2\Plugins\HlfViewer\wsock32.dll
C:\Far2\Plugins\FTP\wsock32.dll
C:\Far2\Plugins\ExtSearch\sources\wsock32.dll
C:\Far2\Plugins\ExtSearch\sources\RegExp\wsock32.dll
C:\Far2\Plugins\FarCmds\wsock32.dll
C:\Far2\Plugins\ExtSearch\wsock32.dll
C:\Far2\Plugins\MacroView\wsock32.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1[1].exe
C:\Far2\Plugins\WinSCP\console\wsock32.dll
C:\Far2\Plugins\WinSCP\core\wsock32.dll
%TEMP%\GLnNU7Y9AU.pif
C:\Far2\Plugins\ProcList\wsock32.dll
C:\Far2\Plugins\Network\wsock32.dll
C:\Far2\Plugins\WinSCP\components\wsock32.dll
C:\Far2\Plugins\TmpPanel\wsock32.dll

Присваивает атрибут 'скрытый' для следующих файлов:

%CommonProgramFiles%\Microsoft Shared\DW\1036\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1040\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1041\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1033\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1025\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1028\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1031\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\1042\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\Speech\1033\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\Speech\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\Stationery\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\MSInfo\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\2052\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\3082\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\DW\wsock32.dll
C:\Far2\Plugins\WinSCP\release\wsock32.dll
C:\Far2\Plugins\WinSCP\resource\wsock32.dll
C:\Far2\Plugins\WinSCP\windows\wsock32.dll
C:\Far2\Plugins\WinSCP\putty\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\wsock32.dll
C:\Far2\Plugins\WinSCP\putty\charset\wsock32.dll
C:\Far2\Plugins\WinSCP\putty\windows\wsock32.dll
C:\Far2\Plugins\WinSCP\wsock32.dll
C:\Far2\wsock32.dll
<Служебный элемент>
%CommonProgramFiles%\Microsoft Shared\DAO\wsock32.dll
C:\Far2\PluginSDK\wsock32.dll
C:\Far2\Plugins\wsock32.dll
C:\Far2\PluginSDK\Headers.c\wsock32.dll
C:\Far2\PluginSDK\Headers.pas\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\_vti_bin\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\_vti_bin\_vti_aut\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\isapi\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\servsupp\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\_vti_bin\_vti_adm\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\wsock32.dll
%CommonProgramFiles%\ODBC\Data Sources\wsock32.dll
%CommonProgramFiles%\ODBC\wsock32.dll
%CommonProgramFiles%\Services\wsock32.dll
%CommonProgramFiles%\MSSoap\wsock32.dll
%CommonProgramFiles%\MSSoap\Binaries\Resources\1033\wsock32.dll
%CommonProgramFiles%\MSSoap\Binaries\Resources\wsock32.dll
%CommonProgramFiles%\MSSoap\Binaries\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\Web Folders\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\admcgi\scripts\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\admcgi\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\VGX\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\TextConv\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\Triedit\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\VC\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\admisapi\scripts\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\bots\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\isapi\_vti_adm\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\isapi\_vti_aut\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\bots\vinavbar\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\admisapi\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\bin\1033\wsock32.dll
%CommonProgramFiles%\Microsoft Shared\web server extensions\40\bin\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\theme\wsock32.dll
C:\Far2\Plugins\Colorer\bin\wsock32.dll
C:\Far2\Plugins\Colorer\hrc\auto\types\wsock32.dll
C:\Far2\Plugins\Colorer\hrc\auto\wsock32.dll
C:\Far2\Plugins\Brackets\wsock32.dll
C:\Far2\Plugins\Align\wsock32.dll
C:\Far2\Plugins\arclite\wsock32.dll
C:\Far2\Plugins\AutoWrap\wsock32.dll
C:\Far2\Plugins\Colorer\hrc\wsock32.dll
C:\Far2\Plugins\Compare\wsock32.dll
C:\Far2\Plugins\DrawLine\wsock32.dll
C:\Far2\Plugins\EditCase\wsock32.dll
C:\Far2\Plugins\Colorer\wsock32.dll
C:\Far2\Plugins\Colorer\hrd\console\contrib\wsock32.dll
C:\Far2\Plugins\Colorer\hrd\console\wsock32.dll
C:\Far2\Plugins\Colorer\hrd\wsock32.dll
C:\Far2\Addons\SetUp\wsock32.dll
C:\Far2\Addons\Shell\wsock32.dll
C:\Far2\Addons\XLat\Russian\wsock32.dll
C:\Far2\Addons\Macros\wsock32.dll
C:\Far2\Addons\Colors\Custom Highlighting\wsock32.dll
C:\Far2\Addons\Colors\Default Highlighting\wsock32.dll
C:\Far2\Addons\Colors\wsock32.dll
C:\Far2\Addons\XLat\wsock32.dll
C:\Far2\Encyclopedia\wsock32.dll
C:\Far2\FExcept\wsock32.dll
C:\Far2\Plugins\7-Zip\wsock32.dll
C:\Far2\Documentation\wsock32.dll
C:\Far2\Addons\wsock32.dll
C:\Far2\Documentation\eng\wsock32.dll
C:\Far2\Documentation\rus\wsock32.dll
C:\Far2\Plugins\WinSCP\far\wsock32.dll
C:\Far2\Plugins\WinSCP\fari\wsock32.dll
C:\Far2\Plugins\WinSCP\filezilla\misc\wsock32.dll
C:\Far2\Plugins\WinSCP\dragext\wsock32.dll
C:\Far2\Plugins\WinSCP\components\wsock32.dll
C:\Far2\Plugins\WinSCP\console\wsock32.dll
C:\Far2\Plugins\WinSCP\core\wsock32.dll
C:\Far2\Plugins\WinSCP\filezilla\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\my\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\tb2k\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\tbx\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\filemng\wsock32.dll
C:\Far2\Plugins\WinSCP\forms\wsock32.dll
C:\Far2\Plugins\WinSCP\lib\wsock32.dll
C:\Far2\Plugins\WinSCP\packages\dragndrop\wsock32.dll
C:\Far2\Plugins\ExtSearch\sources\wsock32.dll
C:\Far2\Plugins\ExtSearch\wsock32.dll
C:\Far2\Plugins\FarCmds\wsock32.dll
C:\Far2\Plugins\ExtSearch\sources\RegExp\wsock32.dll
C:\Far2\Plugins\EMenu\wsock32.dll
C:\Far2\Plugins\ExtSearch\doc\wsock32.dll
C:\Far2\Plugins\ExtSearch\keys\wsock32.dll
C:\Far2\Plugins\FileCase\wsock32.dll
C:\Far2\Plugins\Network\wsock32.dll
C:\Far2\Plugins\ProcList\wsock32.dll
C:\Far2\Plugins\TmpPanel\wsock32.dll
C:\Far2\Plugins\MacroView\wsock32.dll
C:\Far2\Plugins\FTP\lib\wsock32.dll
C:\Far2\Plugins\FTP\wsock32.dll
C:\Far2\Plugins\HlfViewer\wsock32.dll

Удаляет следующие файлы:

<Имя диска съемного носителя>:\autorun.inf

Самоудаляется.

Сетевая активность:

Подключается к:

'www.ai##123.cn':80
'<IP-адрес в локальной сети>':139
'<IP-адрес в локальной сети>':80
'<IP-адрес в локальной сети>':445
'localhost':1037

TCP:

Запросы HTTP GET:

www.ai##123.cn/8.exe
www.ai##123.cn/6.exe
www.ai##123.cn/7.exe
www.ai##123.cn/10.exe
www.ai##123.cn/9.exe
www.ai##123.cn/5.exe
www.ai##123.cn/3.exe
www.ai##123.cn/tj/ct.asp?ma####################
www.ai##123.cn/1.exe
www.ai##123.cn/4.exe
www.ai##123.cn/2.exe

UDP:

DNS ASK 9u##9.cn
DNS ASK www.ai##123.cn

Другое:

Ищет следующие окна:

ClassName: 'AfxControlBar42s' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация