Win32.HLLW.Autoruner1.26974

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '' = '<Полный путь к вирусу>'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'egui' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'FireWall' = '<Полный путь к вирусу>'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MGSMGS' = '<SYSTEM32>\System.exe'

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\svchost.exe
<Имя диска съемного носителя>:\Autorun.inf

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Запускает на исполнение:

<SYSTEM32>\net1.exe stop "WebClient"
<SYSTEM32>\net.exe stop "Messenger"
<SYSTEM32>\net1.exe stop "themes"
<SYSTEM32>\net.exe stop "Windows Audio"
<SYSTEM32>\net1.exe stop "wscsvc"
<SYSTEM32>\net1.exe stop "egui"
<SYSTEM32>\net.exe stop "themes"
<SYSTEM32>\net.exe stop "dhcp client"
<SYSTEM32>\net1.exe stop "TrueVector Internet Monitor"
<SYSTEM32>\taskkill.exe /f /im IEXPLORE.EXE
<SYSTEM32>\net1.exe stop "Windows Audio"
<SYSTEM32>\wbem\wmiadap.exe /R /T
<SYSTEM32>\alg.exe /f /im IEXPLORE.EXE
<SYSTEM32>\taskkill.exe /f /im VB6.exe
<SYSTEM32>\net1.exe stop "dhcp client"
<SYSTEM32>\taskkill.exe /f /im YahooMessenger.exe
<SYSTEM32>\net1.exe stop "Messenger"
<SYSTEM32>\taskkill.exe /f /im wmplayer.exe
<SYSTEM32>\net.exe stop "WebClient"
<SYSTEM32>\net1.exe stop "mcshield"
<SYSTEM32>\taskkill.exe /f /mi avp.exe
<SYSTEM32>\taskkill.exe /f /mi NOD32krn.exe
<SYSTEM32>\net1.exe stop "Norton Antivirus Auto Protect Service"
<SYSTEM32>\net.exe stop "avp"
<SYSTEM32>\net.exe stop "mcshield"
<SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\net.exe stop "Norton Antivirus Auto Protect Service"
<SYSTEM32>\net.exe stop "TrueVector Internet Monitor"
<SYSTEM32>\net.exe stop "egui"
<SYSTEM32>\net1.exe stop "ekrn"
<SYSTEM32>\net.exe stop "wscsvc"
<SYSTEM32>\net.exe stop "ekrn"
<SYSTEM32>\net1.exe stop "avp"
<SYSTEM32>\taskkill.exe /f /mi NOD32KUI.EXE
<SYSTEM32>\taskkill.exe /f /im ekrn.EXE
<SYSTEM32>\taskkill.exe /f /im egui.EXE

Внедряет код в

следующие системные процессы:

<SYSTEM32>\alg.exe

Завершает или пытается завершить

следующие пользовательские процессы:

ekrn.exe
iexplore.exe
YahooMessenger.exe

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoLogOff' = '00000001'

Изменения в файловой системе:

Создает следующие файлы:

C:\svchost.exe
C:\Autorun.inf
<SYSTEM32>\System.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<Имя диска съемного носителя>:\Autorun.inf
<Имя диска съемного носителя>:\svchost.exe
C:\svchost.exe
<Полный путь к вирусу>
C:\Autorun.inf

Сетевая активность:

UDP:

'localhost':1038
'23#.#55.255.250':1900

Другое:

Ищет следующие окна:

ClassName: '' WindowName: ''
ClassName: 'Button' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация