Win32.HLLW.Autoruner1.25138

Добавлен в вирусную базу Dr.Web: 2012-08-23

Описание добавлено: 2012-11-05

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

Вредоносные функции:

Создает и запускает на исполнение:

%HOMEPATH%\Templates\installstat.exe
%TEMP%\nsw2.tmp\ns3.tmp "<SYSTEM32>\cscript.exe" "%PROGRAM_FILES%\EditPlus\kk14.icw"

Запускает на исполнение:

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000001'

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\baidu\baidu-dzl.exe
%HOMEPATH%\Templates\installstat.exe
%TEMP%\nsw2.tmp\ns3.tmp
%PROGRAM_FILES%\EditPlus\kk14.icw
%TEMP%\nsw2.tmp\nsExec.dll
%TEMP%\nsw2.tmp\InstallOptions.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\huhawang[1]
%TEMP%\nsw2.tmp\modern-wizard.bmp
%HOMEPATH%\Templates\statistics.dll
%TEMP%\nsw2.tmp\ioSpecial.ini
%HOMEPATH%\Templates\kk14.icw
%HOMEPATH%\Desktop\Internat Exlporer.lnk
%PROGRAM_FILES%\WinRAR\14\14.dat
%PROGRAM_FILES%\WinRAR\14\Desktop.ini
%TEMP%\nsw2.tmp\System.dll
%PROGRAM_FILES%\WinRAR\14\target.lnk
C:\1________________________________________________________________________________________________________________________________________________________________________________________________________________.ani
%PROGRAM_FILES%\EditPlus\1314.bat
%HOMEPATH%\Desktop\МФ ±¦ Нш №є.lnk
%HOMEPATH%\Desktop\НшЦ·Ц®јТ.1nk
%TEMP%\nsw2.tmp\AccessControl.dll

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

Запросы HTTP POST:

UDP:

Другое:

Ищет следующие окна: