Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Win32.HLLW.Autoruner1.35899
Добавлен в вирусную базу Dr.Web:
2013-04-29
Описание добавлено:
2013-05-04
Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run] 'windows help services' = '<SYSTEM32>\helpsrv.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'dhcp client' = '%WINDIR%\dhcp.exe'
Создает следующие файлы на съемном носителе:
<Имя диска съемного носителя>:\Girl.exe
<Имя диска съемного носителя>:\autorun.inf
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
скрытых файлов
расширений файлов
блокирует запуск следующих системных утилит:
Редактора реестра (RegEdit)
Создает и запускает на исполнение:
'<SYSTEM32>\helpsrv.exe'
'%WINDIR%\dhcp.exe'
Запускает на исполнение:
'<SYSTEM32>\sc.exe' delete srservice
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop srservice
'<SYSTEM32>\sc.exe' stop sharedaccess
'<SYSTEM32>\sc.exe' delete sharedaccess
'<SYSTEM32>\cmd.exe' /c %TEMP%\_dhS.bat
'<SYSTEM32>\diskpart.exe' /s %TEMP%\hcdRS.dat
'<SYSTEM32>\sc.exe' delete avp
'<SYSTEM32>\sc.exe' delete wuauserv
'<SYSTEM32>\sc.exe' stop avp
'<SYSTEM32>\sc.exe' stop spooler
'<SYSTEM32>\sc.exe' start themes
'<SYSTEM32>\sc.exe' delete audiosrv
'<SYSTEM32>\cmd.exe' /c %TEMP%\_dSC.bat
'<SYSTEM32>\sc.exe' stop audiosrv
'<SYSTEM32>\sc.exe' stop wscsvc
'<SYSTEM32>\sc.exe' delete wscsvc
'<SYSTEM32>\sc.exe' delete sens
'<SYSTEM32>\sc.exe' delete spooler
'<SYSTEM32>\sc.exe' stop sens
Завершает или пытается завершить
следующие пользовательские процессы:
Изменяет следующие настройки проводника Windows (Windows Explorer):
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'nosecuritytab' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'nosecuritytab' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'nofind' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer] 'norun' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
<SYSTEM32>\helpsrv.exe
<Текущая директория>\<Имя вируса>\Funny.exe
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\drivetable.txt
<SYSTEM32>\directx.exe
<SYSTEM32>\igfx32.lrc
%WINDIR%\dhcp.exe
<SYSTEM32>\grouppolicy\machine\scripts\startup\ftdisk.exe
C:\autorun.inf
%TEMP%\sdlld2.dat
%TEMP%\sdlld3.dat
%TEMP%\_DLLd.bat
%TEMP%\sdlld1.dat
C:\Girl.exe
%TEMP%\hcdRS.dat
%TEMP%\_dhS.bat
%WINDIR%\Help\ipshelp.hlp
%WINDIR%\Temp\sync.adm
%WINDIR%\Temp\dradmin.adm
%WINDIR%\Temp\help.chm
%WINDIR%\Temp\explorer.adm
%TEMP%\_dSC.bat
%WINDIR%\Temp\user.adm
%WINDIR%\Temp\misc.dll
%WINDIR%\Temp\system.adm
<SYSTEM32>\dhcp.sys
<SYSTEM32>\ftdisk.sys
<SYSTEM32>\dpvsrv.dll
<SYSTEM32>\compmhelp.htm
%WINDIR%\Temp\host.ocx
<SYSTEM32>\initgdi32.cui
<SYSTEM32>\cmediahelp.chm
Присваивает атрибут 'скрытый' для следующих файлов:
<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\Girl.exe
%TEMP%\_dhS.bat
C:\Girl.exe
%TEMP%\_dSC.bat
<Текущая директория>\<Имя вируса>\Funny.exe
C:\autorun.inf
Другое:
Ищет следующие окна:
ClassName: 'rebarwindow32' WindowName: ''
ClassName: 'workerw' WindowName: ''
ClassName: 'explorewclass' WindowName: ''
ClassName: 'comboboxex32' WindowName: ''
ClassName: 'cabinetwclass' WindowName: ''
ClassName: '' WindowName: 'windows task manager'
ClassName: '' WindowName: ''
ClassName: 'SysListView32' WindowName: ''
ClassName: '#32770' WindowName: ''
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK