Win32.HLLW.Autoruner3.12662

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\] 'Windows Settings' = '%WINDIR%\syscvnrhost.exe'

Заражает следующие исполняемые файлы

%HOMEPATH%\desktop\dotnetfx45_full_setup.exe
%HOMEPATH%\desktop\skypesetup.exe
%HOMEPATH%\desktop\wrar520.exe
<Имя диска съемного носителя>:\skypesetup.exe
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\notepad.exe

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\\drvsvcsrmgrsvr.exe
<Имя диска съемного носителя>:\unnamed volume (3gb).lnk
<Имя диска съемного носителя>:\split.avi
<Имя диска съемного носителя>:\000814251_video_01.avi
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\dashborder_192.bmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\dashborder_96.bmp
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\dialmap.bmp
<Имя диска съемного носителя>:\contosoroot_1.cer
<Имя диска съемного носителя>:\testee.cer
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\contoso.cer
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
<Имя диска съемного носителя>:\fi51.doc
<Имя диска съемного носителя>:\lisp_success.doc
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\applicantform_en.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\hanni_umami_chapter.doc
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
<Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx
<Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe
<Имя диска съемного носителя>:\skypesetup.exe
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\notepad.exe
<Имя диска съемного носителя>:\alert.htm
<Имя диска съемного носителя>:\64bit_notes.htm
<Имя диска съемного носителя>:\browse.htm
<Имя диска съемного носителя>:\iisstart.htm
<Имя диска съемного носителя>:\advice_process.htm
<Имя диска съемного носителя>:\ituneshelpunavailable.htm
<Имя диска съемного носителя>:\iisstart.html
<Имя диска съемного носителя>:\tree_view.html
<Имя диска съемного носителя>:\trivial-merge.html
<Имя диска съемного носителя>:\browse.html
<Имя диска съемного носителя>:\4f0bf7ff71f28.jpeg
<Имя диска съемного носителя>:\3.jpeg
<Имя диска съемного носителя>:\region-north-karelia.jpeg
<Имя диска съемного носителя>:\2.jpeg
<Имя диска съемного носителя>:\210252809.jpeg
<Имя диска съемного носителя>:\pushkin.jpeg
<Имя диска съемного носителя>:\13.jpg
<Имя диска съемного носителя>:\210252809.jpg
<Имя диска съемного носителя>:\1189.jpg
<Имя диска съемного носителя>:\3.jpg
<Имя диска съемного носителя>:\dag2_panel1_320_ref.mov
<Имя диска съемного носителя>:\etc6_m_1.mov
<Имя диска съемного носителя>:\video_1.mp4
<Имя диска съемного носителя>:\51.mp4
<Имя диска съемного носителя>:\2015-02-patients-topic-work-related-asthma-jobs.pdf
<Имя диска съемного носителя>:\2015-02-worms-nanoparticle-toxicity.pdf
<Имя диска съемного носителя>:\spib_pima.pdf
<Имя диска съемного носителя>:\ff_ot_user_guide.pdf
<Имя диска съемного носителя>:\lom602.pdf
<Имя диска съемного носителя>:\irgeek.pem
<Имя диска съемного носителя>:\ck_ugo.pem
<Имя диска съемного носителя>:\delongcacert.pem
<Имя диска съемного носителя>:\systisoft.pem
<Имя диска съемного носителя>:\hhhlcert.pem
<Имя диска съемного носителя>:\ck.pem
<Имя диска съемного носителя>:\cert.pem
<Имя диска съемного носителя>:\background.png
<Имя диска съемного носителя>:\cbz.png
<Имя диска съемного носителя>:\bg_search_box.png
<Имя диска съемного носителя>:\arrow-down.png
<Имя диска съемного носителя>:\dissolveanother.png
<Имя диска съемного носителя>:\writingcompletesarnarrative_1103.ppt
<Имя диска съемного носителя>:\sim_gametheory_to_finance.ppt
<Имя диска съемного носителя>:\file1.ppt
<Имя диска съемного носителя>:\roozenedowebinar.pptx
<Имя диска съемного носителя>:\waterresourcesag.pptx
<Имя диска съемного носителя>:\middaugh_keynote.pptx
<Имя диска съемного носителя>:\asaprojectcompetition.pptx
<Имя диска съемного носителя>:\swc_2009-03-02.rdf
<Имя диска съемного носителя>:\foaf.rdf
<Имя диска съемного носителя>:\sioc.rdf
<Имя диска съемного носителя>:\skos.rdf
<Имя диска съемного носителя>:\myhrvoldhanssenbiharfamine.rtf
<Имя диска съемного носителя>:\router_manual.rtf
<Имя диска съемного носителя>:\babyboymaintonotesbackground_pal.wmv
<Имя диска съемного носителя>:\babyboymaintoscenesbackground_pal.wmv
<Имя диска съемного носителя>:\flower_trans_matte.wmv
<Имя диска съемного носителя>:\babyboymaintoscenesbackground.wmv
<Имя диска съемного носителя>:\fiche_inscription_2015.xls
<Имя диска съемного носителя>:\price030215.xls
<Имя диска съемного носителя>:\guide_reorganization_mapping.xls
<Имя диска съемного носителя>:\highly_cited_2001.xlsx
<Имя диска съемного носителя>:\2013_smccc_competition_points_jul2013.xlsx
<Имя диска съемного носителя>:\2013_finalsummaryforweb.xlsx
<Имя диска съемного носителя>:\national_autism_preparation_programs.xlsx
<Имя диска съемного носителя>:\applicant.xlsx
<Имя диска съемного носителя>:\trtf_matrix2012_oct.xlsx
<Имя диска съемного носителя>:\disclosuredetails.xlsx
<Имя диска съемного носителя>:\subjectclassification.zip
<Имя диска съемного носителя>:\price030215.zip
<Имя диска съемного носителя>:\excel_example.zip
<Имя диска съемного носителя>:\fiche_inscription_2015.zip

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\syscvnrhost.exe
%TEMP%\3079338707.exe
%TEMP%\1093237014.exe
%HOMEPATH%\tbtnds.dat

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\syscvnrhost.exe
<Имя диска съемного носителя>:\\drvsvcsrmgrsvr.exe

Сетевая активность

Подключается к

'17#.#6.54.109':80
'15#.#4.211.162':80
'update.microsoft.com':80
'95.##1.141.143':40500
'5.##1.66.91':40500

TCP

Запросы HTTP GET

http://17#.#6.54.109/5

UDP

DNS ASK update.microsoft.com
'23#.#55.255.250':1900
'31.#.155.103':40500
'94.##.231.43':40500
'46.##.203.118':40500
'15#.#1.236.221':40500
'92.##.212.33':40500
'5.###.133.176':40500
'19#.#46.88.51':40500
'46.##7.61.16':40500
'86.#2.3.61':40500
'95.##8.249.234':40500

Другое

Создает и запускает на исполнение

'%WINDIR%\syscvnrhost.exe'
'%TEMP%\3079338707.exe'
'%TEMP%\1093237014.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация