Win32.HLLW.Autoruner1.58794

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /i'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /W'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /s'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /p'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /E'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /N'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /y'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /b'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /D'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /H'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /r'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /M'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /q'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /x'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /U'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /F'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /g'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /V'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /k'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /c'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /O'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /A'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /Z'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /j'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /L'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xoeva' = '%HOMEPATH%\xoeva.exe /t'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\svchost.exe

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\RCX9.tmp
<Имя диска съемного носителя>:\Passwords_backup.exe
<Имя диска съемного носителя>:\RCX6.tmp
<Имя диска съемного носителя>:\Bloc-notes.exe
<Имя диска съемного носителя>:\RCXA.tmp
<Имя диска съемного носителя>:\Porn_backup.exe
<Имя диска съемного носителя>:\RCX11.tmp
<Имя диска съемного носителя>:\RCXB.tmp
<Имя диска съемного носителя>:\RCXE.tmp
<Имя диска съемного носителя>:\Secret.exe
<Имя диска съемного носителя>:\Sexy.exe
<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\xoeva.exe
<Имя диска съемного носителя>:\RCX3.tmp
<Имя диска съемного носителя>:\RCX5.tmp
<Имя диска съемного носителя>:\Passwords.exe
<Имя диска съемного носителя>:\Porn.exe
<Имя диска съемного носителя>:\RCX4.tmp

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\teuveaw.exe' = '%TEMP%\teuveaw.exe:*:Enabled:ipsec'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)
Центр обеспечения безопасности (Security Center)

Создает и запускает на исполнение:

'%HOMEPATH%\xoeva.exe'
'%TEMP%\svchost.exe'
'%TEMP%\teuveaw.exe'

Запускает на исполнение:

'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ia5ctluw.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD.tmp" "%TEMP%\vbcC.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\c2e9mmhe.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES10.tmp" "%TEMP%\vbcF.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\upfnp-oh.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\6-mzrker.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8.tmp" "%TEMP%\vbc7.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\lsl8nvas.cmdline"

Внедряет код в

следующие системные процессы:

%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\jvnfu.exe
%TEMP%\RESD.tmp
%TEMP%\vbcC.tmp
%TEMP%\E.resources
%TEMP%\WgM.resources
%TEMP%\ymrum.exe
%TEMP%\upfnp-oh.0.vb
<DRIVERS>\fmmmg.sys
%TEMP%\lW.resources
%TEMP%\winqjcup.exe
%TEMP%\upfnp-oh.out
%TEMP%\upfnp-oh.cmdline
%TEMP%\LiK.resources
%TEMP%\kgRGtL.resources
%TEMP%\winmjwb.exe
%TEMP%\c2e9mmhe.out
%TEMP%\c2e9mmhe.cmdline
%TEMP%\c2e9mmhe.0.vb
%TEMP%\ia5ctluw.out
%TEMP%\ia5ctluw.cmdline
%TEMP%\ia5ctluw.0.vb
%TEMP%\RES10.tmp
%TEMP%\vbcF.tmp
%TEMP%\winsrdlu.exe
%TEMP%\CshEtX.resources
%TEMP%\6-mzrker.out
%TEMP%\6-mzrker.cmdline
%TEMP%\6-mzrker.0.vb
%TEMP%\6-mzrker.exe
%TEMP%\RES2.tmp
%TEMP%\vbc1.tmp
%TEMP%\teuveaw.exe
%TEMP%\svchost.exe
%TEMP%\uRd.resources
%TEMP%\MSNPSharp.dll
%TEMP%\8b42uA3ND.resources
%HOMEPATH%\xoeva.exe
%TEMP%\lsl8nvas.out
%TEMP%\lsl8nvas.cmdline
%TEMP%\lsl8nvas.0.vb
%TEMP%\windowsupdate.ico
%TEMP%\RES8.tmp
%TEMP%\vbc7.tmp
C:\oonthd.exe
C:\autorun.inf
%TEMP%\mmbblq.exe
%TEMP%\whatdafock.txt
%TEMP%\cuSTbpJ.resources
%TEMP%\FcSLyS.resources

Присваивает атрибут 'скрытый' для следующих файлов:

C:\oonthd.exe
<Имя диска съемного носителя>:\xoeva.exe
C:\autorun.inf
%HOMEPATH%\xoeva.exe
<Имя диска съемного носителя>:\autorun.inf

Удаляет следующие файлы:

%TEMP%\upfnp-oh.out
%TEMP%\upfnp-oh.cmdline
%TEMP%\CshEtX.resources
%TEMP%\jvnfu.exe
%TEMP%\lW.resources
%TEMP%\winqjcup.exe
<DRIVERS>\fmmmg.sys
%TEMP%\RESD.tmp
%TEMP%\upfnp-oh.0.vb
%TEMP%\vbcC.tmp
%TEMP%\ymrum.exe
%TEMP%\WgM.resources
%TEMP%\ia5ctluw.0.vb
%TEMP%\E.resources
<Имя диска съемного носителя>:\Porn_backup.exe
%TEMP%\winmjwb.exe
%TEMP%\RES10.tmp
%TEMP%\winsrdlu.exe
%TEMP%\vbcF.tmp
%TEMP%\ia5ctluw.out
%TEMP%\ia5ctluw.cmdline
%TEMP%\6-mzrker.exe
%TEMP%\6-mzrker.0.vb
%TEMP%\6-mzrker.out
<Имя диска съемного носителя>:\Sexy.exe
%TEMP%\mmbblq.exe
%TEMP%\teuveaw.exe
%TEMP%\svchost.exe
%TEMP%\RES2.tmp
%TEMP%\6-mzrker.cmdline
%TEMP%\vbc1.tmp
<Имя диска съемного носителя>:\Porn.exe
%TEMP%\FcSLyS.resources
%TEMP%\lsl8nvas.0.vb
%TEMP%\cuSTbpJ.resources
%TEMP%\windowsupdate.ico
<Имя диска съемного носителя>:\Passwords_backup.exe
%TEMP%\RES8.tmp
<Имя диска съемного носителя>:\Passwords.exe
%TEMP%\vbc7.tmp
%TEMP%\lsl8nvas.out
%TEMP%\lsl8nvas.cmdline

Сетевая активность:

Подключается к:

'www.ca###rdesk.org':80
'ar####.niria.biz':80
'am##mex.com':80
'17#.#3.169.14':80
'ns#.###nsearcher.net':8000
'al###wry.org':80

TCP:

Запросы HTTP GET:

ar####.niria.biz/xs.jpg?4d###########
am##mex.com/xs.jpg?4f###########
al###wry.org/images/xs.jpg?4b###########
www.ca###rdesk.org/images/xs.jpg?4c###########

UDP:

DNS ASK ar####.niria.biz
DNS ASK am##mex.com
DNS ASK ap###-pie.in
DNS ASK ns#.###nsearcher.net
DNS ASK al###wry.org
DNS ASK www.ca###rdesk.org

Другое:

Ищет следующие окна:

ClassName: 'Indicator' WindowName: '(null)'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация