Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Win32.HLLW.Autoruner1.28791
Добавлен в вирусную базу Dr.Web:
2012-10-26
Описание добавлено:
2012-10-26
Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '%WINDIR%\winlogon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe] 'DEBUGGER' = '%WINDIR%\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%WINDIR%\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%WINDIR%\inetinfo.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'DEBUGGER' = '<SYSTEM32>\TIMPlatform.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe] 'DEBUGGER' = '<SYSTEM32>\TIMPlatform.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '%WINDIR%\inetinfo.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'DEBUGGER' = '%WINDIR%\inf\realplayer.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '<SYSTEM32>\TIMPlatform.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe] 'DEBUGGER' = '%WINDIR%\inetinfo.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '<SYSTEM32>\TIMPlatform.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%WINDIR%\inf\realplayer.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe] 'DEBUGGER' = '%WINDIR%\winlogon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'DEBUGGER' = '%WINDIR%\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe] 'DEBUGGER' = '%WINDIR%\inf\realplayer.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe] 'DEBUGGER' = '%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'DEBUGGER' = '%WINDIR%\inetinfo.exe'
Создает следующие сервисы:
[<HKLM>\SYSTEM\ControlSet001\Services\vmount3] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\vmount3] 'ImagePath' = '%WINDIR%\inf\realplayer.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\VMwareNATService] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Installer information] 'ImagePath' = '%PROGRAM_FILES%\Internet Explorer\iedws.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\lanmanworkstation2] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\lanmanworkstation2] 'ImagePath' = '%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\Installer information] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\VMAuthd Service] 'ImagePath' = '%WINDIR%\inetinfo.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\vds2] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\vds2] 'ImagePath' = '%WINDIR%\ctfmon.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\VMAuthd Service] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\VMwareNATService] 'ImagePath' = '<SYSTEM32>\TIMPlatform.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\VMnet DHCP] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\VMnet DHCP] 'ImagePath' = '%WINDIR%\winlogon.exe'
Создает следующие файлы на съемном носителе:
<Имя диска съемного носителя>:\AutoRun.inf
<Имя диска съемного носителя>:\AUTOEXEC.EXE
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
Создает и запускает на исполнение:
%WINDIR%\winlogon.exe
%WINDIR%\inetinfo.exe
Завершает или пытается завершить
следующие пользовательские процессы:
Изменения в файловой системе:
Создает следующие файлы:
%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe
%PROGRAM_FILES%\Internet Explorer\iedws.exe
C:\AUTOEXEC.EXE
C:\AutoRun.inf
%WINDIR%\inf\realplayer.exe
%WINDIR%\ctfmon.exe
<Служебный элемент>
%WINDIR%\inetinfo.exe
<SYSTEM32>\TIMPlatform.exe
%WINDIR%\winlogon.exe
Присваивает атрибут 'скрытый' для следующих файлов:
C:\AUTOEXEC.EXE
C:\AutoRun.inf
%PROGRAM_FILES%\Internet Explorer\SIGNUP\iedws.exe
<Полный путь к вирусу>
<Имя диска съемного носителя>:\AUTOEXEC.EXE
<Имя диска съемного носителя>:\AutoRun.inf
%WINDIR%\winlogon.exe
%WINDIR%\inetinfo.exe
%WINDIR%\ctfmon.exe
%PROGRAM_FILES%\Internet Explorer\iedws.exe
%WINDIR%\inf\realplayer.exe
<SYSTEM32>\TIMPlatform.exe
Удаляет следующие файлы:
%TEMP%\~DF5FB4.tmp
%TEMP%\~DFB116.tmp
Другое:
Ищет следующие окна:
ClassName: 'GxWindowClassD3d' WindowName: ''
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK