Win32.HLLW.Autoruner1.34222

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'omc.dll.exe' = 'C:/windows/system32/omc.dll.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Olrox.exe' = 'C:/windows/ShellNew/Olrox.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Issas.exe' = 'C:/windows/System32/Issas.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'command.com.com' = 'C:/Command.com.com'

Создает следующие файлы на съемном носителе:

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Запускает на исполнение:

<SYSTEM32>\reg.exe add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v omc.dll.exe /t REG_SZ /d C:/windows/system32/omc.dll.exe
<SYSTEM32>\reg.exe add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v Olrox.exe /t REG_SZ /d C:/windows/ShellNew/Olrox.exe
<SYSTEM32>\reg.exe add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v Issas.exe /t REG_SZ /d C:/windows/System32/Issas.exe
<SYSTEM32>\reg.exe add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v command.com.com /t REG_SZ /d C:/Command.com.com
<SYSTEM32>\reg.exe add HKCU\software\microsoft\windows\currentversion\policies\system /v disabletaskmgr /t reg_dword /d "1" /f
<SYSTEM32>\reg.exe add HKCU\software\microsoft\windows\currentversion\policies\system /v disableregistrytools /t reg_dword /d "1" /f
<SYSTEM32>\shutdown.exe -r -t 00
<SYSTEM32>\reg.exe add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT/CurrentVersion/Winlogon /v logonprompt /t REG_SZ /d W32/Olrox.a /F
<SYSTEM32>\reg.exe add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Polices\Explorer /v NoSaveSettings /T REG_DWORD /D 1 /F
<SYSTEM32>\reg.exe add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explore /v NoClose /t REG_DWORD /D 1 /F
<SYSTEM32>\taskkill.exe /F /IM iexplore.exe
<SYSTEM32>\taskkill.exe /F /IM firefox.exe
<SYSTEM32>\taskkill.exe /F /IM msnmsgr.exe
<SYSTEM32>\taskkill.exe /F /IM notepad.exe
<SYSTEM32>\taskkill.exe /F /IM cmd.exe

Завершает или пытается завершить

большое количество пользовательских процессов.

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Пытается завершить работу операционной системы Windows.

Изменения в файловой системе:

Создает следующие файлы:

Присваивает атрибут 'скрытый' для следующих файлов:

Другое:

Ищет следующие окна: