Win32.HLLW.Autoruner.52822

Добавлен в вирусную базу Dr.Web: 2011-06-29

Описание добавлено: 2020-06-16

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftВ® WindowsВ® Operating System' = '%APPDATA%\Microsoft\Protect\Credentials\taskhostt.exe'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe "%APPDATA%\lsass.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MSWUpdate' = '"%APPDATA%\lsass.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'MSWUpdate' = '"%APPDATA%\lsass.exe"'

Создает следующие файлы на съемном носителе

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%APPDATA%\lsass.exe" CityScape Enable

Внедряет код в

следующие пользовательские процессы:

Изменения в файловой системе

Создает следующие файлы

Присваивает атрибут 'скрытый' для следующих файлов

Перемещает следующие файлы

%APPDATA%\microsoft\protect\credentials\taskhostt.gzp в %APPDATA%\microsoft\protect\credentials\taskhostt.exe
%APPDATA%\microsoft\protect\credentials\wmpnetvk.gzp в %APPDATA%\microsoft\protect\credentials\wmpnetvk.exe

Сетевая активность

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%APPDATA%\microsoft\protect\credentials\taskhostt.exe'
'%APPDATA%\microsoft\protect\credentials\wmpnetvk.exe'
'%APPDATA%\lsass.exe' /d <Полный путь к файлу>
'%APPDATA%\lsass.exe' /d %APPDATA%\Microsoft\Protect\Credentials\wmpnetvk.exe
'%APPDATA%\lsass.exe'
'%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%APPDATA%\lsass.exe" CityScape Enable' (со скрытым окном)

Запускает на исполнение