Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Win32.HLLW.Autoruner1.38479
Добавлен в вирусную базу Dr.Web:
2013-05-26
Описание добавлено:
2013-05-27
Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '365' = 'h:\svchosto.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '366' = 'C:\svchosto.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '2297F138' = '%WINDIR%\2297F138\svchsot.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '364' = 'g:\svchosto.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '360' = '<SYSTEM32>\svchosto.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '362' = '<Имя диска съемного носителя>:\svchosto.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '363' = 'f:\svchosto.exe'
Создает или изменяет следующие файлы:
%WINDIR%\Tasks\At10.job
%WINDIR%\Tasks\At9.job
%WINDIR%\Tasks\At8.job
%WINDIR%\Tasks\At13.job
%WINDIR%\Tasks\At12.job
%WINDIR%\Tasks\At11.job
%WINDIR%\Tasks\At7.job
%WINDIR%\Tasks\At3.job
%WINDIR%\Tasks\At2.job
%WINDIR%\Tasks\At1.job
%WINDIR%\Tasks\At6.job
%WINDIR%\Tasks\At5.job
%WINDIR%\Tasks\At4.job
Создает следующие сервисы:
[<HKLM>\SYSTEM\ControlSet001\Services\ZHQHLPUZ] 'ImagePath' = '<DRIVERS>\ZHQHLPUZ.sys'
Создает следующие файлы на съемном носителе:
<Имя диска съемного носителя>:\AutoRun.inf
<Имя диска съемного носителя>:\svchosto.exe
Вредоносные функции:
Создает и запускает на исполнение:
'<SYSTEM32>\system.\svchosttt.exe'
'<SYSTEM32>\ksbinstaller_s_80_60899.exe'
'<SYSTEM32>\svchosttt.exe'
'<SYSTEM32>\KAVSETUPS_44_60899.exe'
'<SYSTEM32>\svchoppp.exe'
'C:\PPTV(pplive)_fora5_60899.exe'
'<SYSTEM32>\KAVSETUPS_44_60899.exe' (загружен из сети Интернет)
'C:\PPTV(pplive)_fora5_60899.exe' (загружен из сети Интернет)
'<SYSTEM32>\ksbinstaller_s_80_60899.exe' (загружен из сети Интернет)
Запускает на исполнение:
'<SYSTEM32>\net1.exe' start "Task Scheduler"
Завершает или пытается завершить
следующие системные процессы:
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
NtWriteVirtualMemory, драйвер-обработчик: ZHQHLPUZ.sys
NtReadVirtualMemory, драйвер-обработчик: ZHQHLPUZ.sys
NtOpenProcess, драйвер-обработчик: ZHQHLPUZ.sys
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
<SYSTEM32>\ksbinstaller_s_80_60899.exe
%WINDIR%\0C24_svchosttt.exe_0.ndmp
C:\PPTV(pplive)_fora5_60899.exe
<SYSTEM32>\KAVSETUPS_44_60899.exe
%WINDIR%\2297F138\svchsot.exe
<SYSTEM32>\system.\svchosttt.exe
<SYSTEM32>\svchosto.exe
C:\AutoRun.inf
<DRIVERS>\TMXMQTVA.sys
%WINDIR%\svchoppp.exe
<DRIVERS>\ZHQHLPUZ.sys
<SYSTEM32>\svchoppp.exe
C:\setups_66_63962.exe
<SYSTEM32>\svchosttt.exe
C:\kuping_s_33717.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\2345[1]
Присваивает атрибут 'скрытый' для следующих файлов:
<Имя диска съемного носителя>:\AutoRun.inf
C:\AutoRun.inf
Удаляет следующие файлы:
<SYSTEM32>\svchosto.exe
<DRIVERS>\ZHQHLPUZ.sys
Сетевая активность:
Подключается к:
's1.##min6.com':80
'localhost':2012
'd.#####.ijinshan.com':80
'localhost':1037
'www.23##.com':80
TCP:
Запросы HTTP GET:
s1.##min6.com/pptv/PPTV(pplive)_fora5_60899.exe
d.#####.ijinshan.com/duba/link/KAVSETUPS_44_60899.exe
d.#####.ijinshan.com/liebao/link/ksbinstaller_s_80_60899.exe
www.23##.com/?k6#######
d.#####.ijinshan.com/kuping/jm/kuping_s_33717.exe
d.#####.ijinshan.com/weishi/link/setups_66_63962.exe
UDP:
DNS ASK cd#.###ent.baidu.com
DNS ASK do####ad.wuji.com
DNS ASK qw####800.gicp.net
DNS ASK ji#####wnload.2345.cn
DNS ASK www.23##.com
DNS ASK d.#####.ijinshan.com
DNS ASK s1.##min6.com
Другое:
Ищет следующие окна:
ClassName: 'Button' WindowName: '????(&I)'
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: '#32770' WindowName: '2345????????????V3.2??????????60??????????????????'
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK