Win32.HLLW.Autoruner1.28338

Добавлен в вирусную базу Dr.Web: 2012-10-20

Описание добавлено: 2012-10-20

Для обеспечения автозапуска и распространения:

Создает следующие файлы на съемном носителе:

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\Explorer.EXE' = '%WINDIR%\Explorer.EXE:*:Enabled:ipsec'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:ipsec'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует отображение:

блокирует запуск следующих системных утилит:

блокирует:

Запускает на исполнение:

Внедряет код в

следующие системные процессы:

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

<DRIVERS>\hiojnn.sys
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\88603cb2913a7df3fbd16b5f958e6447_23ef5514-3059-436f-a4a7-4cefaab20eb1
%TEMP%\winyaku.exe
%TEMP%\cbgg.exe
%TEMP%\923BBB52
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\cc5cafeb-c4c9-469a-9d2f-022e0bf8bf0f

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы: