Win32.HLLW.Autoruner1.16349

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Procexp.exe] 'Debugger' = '<SYSTEM32>\winmine.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Procexp.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe] 'Debugger' = '<SYSTEM32>\sol.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe] 'Debugger' = '<SYSTEM32>\spider.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\format.exe] 'Debugger' = '<SYSTEM32>\winmine.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\wmiprsve.exe] 'Debugger' = '<SYSTEM32>.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\killvb.exe] 'Debugger' = '<SYSTEM32>\winmine.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\killvb.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\A-VIGen32.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe] 'Debugger' = '<SYSTEM32>\sol.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgamsvr.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\A-VTray.exe] 'Debugger' = '<SYSTEM32>\winmine.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\instal.exe] 'Debugger' = '<SYSTEM32>\winmine.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\instal.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe] 'Debugger' = '<SYSTEM32>\spider.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Classes\piffile\shell\open\command] '' = '"%WINDIR%\adminisrative.exe" "%1" %*'
[<HKLM>\SOFTWARE\Classes\comfile\shell\open\command] '' = '"%WINDIR%\adminisrative.exe" "%1" %*'
[<HKLM>\SOFTWARE\Classes\VBSFile\Shell\Open\Command] '' = '"<SYSTEM32>.exe" "%1" %*'
[<HKLM>\SOFTWARE\Classes\scrfile\shell\open\command] '' = '"%WINDIR%\adminisrative.exe" "%1" %*'
[<HKLM>\SOFTWARE\Classes\jpegfile\shell\open\command] '' = '"%WINDIR%\adminisrative.exe" "%1" %*'
[<HKLM>\SOFTWARE\Classes\regfile\shell\open\command] '' = '"%WINDIR%\adminisrative.exe" "%1" %*'
[<HKLM>\SOFTWARE\Classes\batfile\shell\open\command] '' = '"%WINDIR%\adminisrative.exe" "%1" %*'
[<HKLM>\SOFTWARE\Classes\mp3file\shell\open\command] '' = '"%WINDIR%\adminisrative.exe" "%1" %*'
[<HKLM>\SOFTWARE\Classes\lnkfile\shell\open\command] '' = '"%WINDIR%\adminisrative.exe" "%1" %*'
[<HKLM>\SYSTEM\ControlSet001\Control\SafeBoot\Minimal] 'vga.sys' = 'C:\My Music\Indonesia.exe'
[<HKLM>\SYSTEM\ControlSet003\Control\SafeBoot\Minimal] 'vga.sys' = 'C:\My Music\Indonesia.exe'
[<HKLM>\SYSTEM\ControlSet001\Control\SafeBoot\Minimal] 'dmboot.sys' = 'C:\My Music\Indonesia.exe'
[<HKLM>\SYSTEM\ControlSet003\Control\SafeBoot\Minimal] 'dmboot.sys' = 'C:\My Music\Indonesia.exe'
[<HKLM>\SYSTEM\ControlSet001\Control\SafeBoot\Network] 'vga.sys' = 'C:\My Music\Indonesia.exe'
[<HKLM>\SYSTEM\ControlSet003\Control\SafeBoot\Network] 'vga.sys' = 'C:\My Music\Indonesia.exe'
[<HKLM>\SYSTEM\ControlSet001\Control\SafeBoot\Network] 'dmboot.sys' = 'C:\My Music\Indonesia.exe'
[<HKLM>\SYSTEM\ControlSet003\Control\SafeBoot\Network] 'dmboot.sys' = 'C:\My Music\Indonesia.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgemc.exe] 'Debugger' = '<SYSTEM32>\sol.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedt32.exe] 'Debugger' = '<SYSTEM32>\spider.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe] 'Debugger' = '<SYSTEM32>\spider.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe] 'Debugger' = '<SYSTEM32>\winmine.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\spoolsv.exe] 'Debugger' = '<SYSTEM32>\calc.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PCMAV-CLN.exe] 'Debugger' = '<SYSTEM32>\winmine.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmc.exe] 'Debugger' = '<SYSTEM32>\spider.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ksplood.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rstrui.exe] 'Debugger' = '<SYSTEM32>\sol.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Palma' = 'C:\My Music\Indonesia.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ParayCity' = 'C:\Send Mail.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%WINDIR%\adminisrative.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'System' = '%WINDIR%\adminisrative.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\wscript.exe] 'Debugger' = '<SYSTEM32>\sol.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Massage' = 'C:\Manifesto.doc'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe] 'Debugger' = '<SYSTEM32>\winmine.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rundll32.exe] 'Debugger' = '<SYSTEM32>.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\winRAR.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Winzip.exe] 'Debugger' = '<SYSTEM32>\winmine.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgcc.exe] 'Debugger' = '<SYSTEM32>\winmine.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgvv.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\zanda.exe] 'Debugger' = '<SYSTEM32>\sol.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgupsvc.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgnt.exe] 'Debugger' = '<SYSTEM32>\spider.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ansav.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ansav32.exe] 'Debugger' = '<SYSTEM32>\sol.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PCMAV-RTP.exe] 'Debugger' = '<SYSTEM32>\sol.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ansav.exe] 'Debugger' = '<SYSTEM32>\winmine.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\print.exe] 'Debugger' = '<SYSTEM32>\freecell.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avguard.exe] 'Debugger' = '<SYSTEM32>\sol.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ansav32.exe] 'Debugger' = '<SYSTEM32>\spider.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msiexec.exe] 'Debugger' = '<SYSTEM32>\osx.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\wscsvc] 'ImagePath' = 'Go To Mak Erot'
[<HKLM>\SYSTEM\ControlSet001\Services\MSIServer] 'ImagePath' = 'Go To Vagina'
[<HKLM>\SYSTEM\ControlSet001\Services\Spooler] 'ImagePath' = 'BKHGkhvkBHhb'
[<HKLM>\SYSTEM\ControlSet001\Services\srservice\Parameters] 'ServiceDll' = 'jhgjhfHGDHdnhDNHCnhfdC'
[<HKLM>\SYSTEM\ControlSet001\Services\srservice] 'ImagePath' = 'Dasar Kucing Garong lo '
[<HKLM>\SYSTEM\ControlSet001\Services\Alerter] 'ImagePath' = 'Mulutmu Harimaumu '

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\My Data\Ms Excel.exe
<Имя диска съемного носителя>:\My Data\Powerpoint.exe
<Имя диска съемного носителя>:\My Data\Persentasi.exe
<Имя диска съемного носителя>:\My Gambar\Japan Pictures.exe
<Имя диска съемного носителя>:\My Gambar\Artisz.exe
<Имя диска съемного носителя>:\My Data\Ms Word.exe
<Имя диска съемного носителя>:\My Data\Star Office.exe
<Имя диска съемного носителя>:\My Data\Publisher.exe
<Имя диска съемного носителя>:\Autorun.inf
<Имя диска съемного носителя>:\My Data\Skripsi.exe
<Имя диска съемного носителя>:\My Data\Makalah.exe
<Имя диска съемного носителя>:\My Data\Open Office.exe
<Имя диска съемного носителя>:\My Music\Barat.exe
<Имя диска съемного носителя>:\My Music\Rock Metal.exe
<Имя диска съемного носителя>:\My Music\Malaysia.exe
<Имя диска съемного носителя>:\U3.exe
<Имя диска съемного носителя>:\My Music\Indonesia.exe
<Имя диска съемного носителя>:\My Music\Mandarin.exe
<Имя диска съемного носителя>:\My Gambar\Porno XXX.exe
<Имя диска съемного носителя>:\My Gambar\Friendster.exe
<Имя диска съемного носителя>:\My Gambar\Wallpaper.exe
<Имя диска съемного носителя>:\My Music\Pop.exe
<Имя диска съемного носителя>:\My Music\Dangdut.exe
<Имя диска съемного носителя>:\My Gambar\Gadis Indo.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует запуск следующих системных утилит:

Интерпретатора командной строки (CMD)
Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)

блокирует:

Компонент восстановления системы (SR)

Создает и запускает на исполнение:

%WINDIR%\adminisrative.exe

Запускает на исполнение:

<SYSTEM32>\ping.exe -l 5000 -t www.fr###dster.com
<SYSTEM32>\ping.exe -l 5000 -t www.ma##ko.com
<SYSTEM32>\ping.exe -l 5000 -t www.vi####ndonesia.com
<SYSTEM32>\ping.exe -l 5000 -t www.an##v.com
<SYSTEM32>\ping.exe -l 5000 -t www.sm####ahandut.info

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoShellSearchButton' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoDrives' = '00000004'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDrives' = '00000004'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoControlPanel' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoShellSearchButton' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoFolderOptions' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoFind' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFind' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoRun' = '00000001'

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Internet Explorer\Main] 'Window Title' = 'Hayooo lagi ngapain?..... Lagi buka situs Porno yaaa..... (^_^)'

Принудительно разрешает автозапуск со съемных носителей.

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

C:\My Data\Ms Word.exe
C:\My Data\Ms Excel.exe
C:\My Data\Powerpoint.exe
C:\My Gambar\Artisz.exe
C:\My Gambar\Friendster.exe
C:\My Gambar\Wallpaper.exe
C:\My Gambar\Japan Pictures.exe
C:\My Data\Star Office.exe
C:\My Data\Publisher.exe
C:\Autorun.inf
C:\My Data\Open Office.exe
C:\My Data\Persentasi.exe
C:\My Data\Skripsi.exe
C:\My Data\Makalah.exe
C:\U3.exe
C:\My Music\Indonesia.exe
C:\My Music\Mandarin.exe
<SYSTEM32>.exe
C:\Manifesto.doc
C:\Send Mail.exe
%WINDIR%\adminisrative.exe
C:\My Music\Dangdut.exe
C:\My Gambar\Gadis Indo.exe
C:\My Gambar\Porno XXX.exe
C:\My Music\Pop.exe
C:\My Music\Barat.exe
C:\My Music\Rock Metal.exe
C:\My Music\Malaysia.exe

Присваивает атрибут 'скрытый' для следующих файлов:

C:\Autorun.inf
<Имя диска съемного носителя>:\U3.exe
<Имя диска съемного носителя>:\Autorun.inf
C:\U3.exe
C:\Manifesto.doc
C:\Send Mail.exe
%WINDIR%\adminisrative.exe

Удаляет следующие файлы:

<SYSTEM32>\Macromed\Flash\flash.ocx
<SYSTEM32>\spoolsv.exe

Сетевая активность:

UDP:

DNS ASK www.fr###dster.com
DNS ASK www.ma##ko.com
DNS ASK www.sm####ahandut.info
DNS ASK www.vi####ndonesia.com
DNS ASK www.an##v.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'PROCESS'
ClassName: '' WindowName: 'Antivirus'
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: '' WindowName: 'ANSAV'
ClassName: 'RegEdit_RegEdit' WindowName: ''
ClassName: '' WindowName: 'Folder Options'
ClassName: '' WindowName: 'Task Manager'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация