Win32.HLLW.Autoruner1.36902

Добавлен в вирусную базу Dr.Web: 2013-05-12

Описание добавлено: 2013-05-14

Для обеспечения автозапуска и распространения:

Создает следующие файлы на съемном носителе:

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\Full Hack Desember 2012.exe' = '%TEMP%\Full Hack Desember 2012.exe:*:Enabled:ipsec'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует отображение:

блокирует:

Создает и запускает на исполнение:

Внедряет код в

следующие системные процессы:

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

C:\autorun.inf
%TEMP%\winhamk.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bandungcheater[1]
%TEMP%\ryvy.exe
<DRIVERS>\humll.sys
C:\nhjg.exe
%TEMP%\00020EDB_Rar\Full Hack Desember 2012.exe
%TEMP%\svchost.exe
%TEMP%\Full Hack Desember 2012.exe
%TEMP%\ieae.exe
%TEMP%\~sfx00174EB47D\dhy_pw.exe
%TEMP%\~sfx00174EB47D\dhy_pw.dll

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

UDP:

Другое:

Ищет следующие окна: