Win32.HLLW.Autoruner2.8958

Добавлен в вирусную базу Dr.Web: 2014-02-25

Описание добавлено: 2014-02-25

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'njq8IsHere.vbs' = '<SYSTEM32>\wscript.exe /b "%TEMP%\njq8IsHere.vbs"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'njq8IsHere.vbs' = '<SYSTEM32>\wscript.exe /b "%TEMP%\njq8IsHere.vbs"'

Создает или изменяет следующие файлы:

Создает следующие файлы на съемном носителе:

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nj_.exe'
'%TEMP%\is-37DQE.tmp\MicroSD_Card_Recovery_Pro_Setup.tmp' /SL5="$1014E,1924072,140800,%PROGRAM_FILES%\LionSea SoftWare\MicroSD Card Recovery Pro Setup\MicroSD_Card_Recovery_Pro_Setup.exe"
'%PROGRAM_FILES%\LionSea SoftWare\MicroSD Card Recovery Pro Setup\MicroSD_Card_Recovery_Pro_Setup.exe'

Запускает на исполнение:

'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' "%TEMP%\nj_.vb" /nowarn
'<SYSTEM32>\wscript.exe' "%APPDATA%\drive.vbs"

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nj_.vb
%TEMP%\njq8IsHere.vbs
%TEMP%\is-37DQE.tmp\MicroSD_Card_Recovery_Pro_Setup.tmp
%TEMP%\nj_.exe
%TEMP%\RES2.tmp
%TEMP%\vbc1.tmp
%APPDATA%\drive.vbs
%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\2.tmp
%PROGRAM_FILES%\LionSea SoftWare\MicroSD Card Recovery Pro Setup\Uninstall.ini
%PROGRAM_FILES%\LionSea SoftWare\MicroSD Card Recovery Pro Setup\Uninstall.exe
%PROGRAM_FILES%\LionSea SoftWare\MicroSD Card Recovery Pro Setup\MicroSD_Card_Recovery_Pro_Setup.exe

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

UDP:

Другое:

Ищет следующие окна: