Win32.HLLW.Autoruner1.25043

Добавлен в вирусную базу Dr.Web: 2012-08-18

Описание добавлено: 2012-09-08

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'csrss' = 'C:\Users\Public\smxss.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = 'C:\Users\Public\smxss.exe'

Создает следующие файлы на съемном носителе:

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\cmd.exe /c C:\Users\Public\aognradikgow.bat
<SYSTEM32>\reg.exe add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run /v csrss /d C:\Users\Public\smxss.exe /f
<SYSTEM32>\taskkill.exe /f /im <Имя вируса>.exe
<SYSTEM32>\cmd.exe /c C:\Users\Public\load.bat
<SYSTEM32>\tskill.exe /A <Имя вируса>
<SYSTEM32>\tskill.exe /A smss
<SYSTEM32>\cmd.exe /c C:\mkxxosrw.bat
<SYSTEM32>\taskkill.exe /f /im smss.exe
<SYSTEM32>\reg.exe add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v csrss /d C:\Users\Public\smxss.exe /f
<SYSTEM32>\cmd.exe /c C:\Users\Public\cpx.bat

Изменения в файловой системе:

Создает следующие файлы:

C:\autorun.inf
C:\SandiskU3.exe
C:\Users\Public\smxss.exe
C:\Users\Public\instlx978x.txt
C:\Users\Public\load.bat
C:\Users\Public\sys\svchost.exe
C:\Users\Public\aognradikgow.bat
C:\Users\Public\okcgoethvbyt.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xxx[1].EXE
C:\mkxxosrw.bat
C:\Users\Public\extmgr.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\vert[1].exe
C:\Users\Public\cpx.bat
C:\Users\Public\ar.i

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

UDP:

Другое:

Ищет следующие окна: