Win32.HLLW.Facebook.1642

Добавлен в вирусную базу Dr.Web: 2012-09-05

Описание добавлено: 2012-09-26

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\sc.exe start "flexsrv"
<SYSTEM32>\reg.exe adD "hklm\SOfTwaRe\mIcrOSoFt\WiNdoWs nt\CURrENtveRSiOn\svcHoSt" /v netwisvc /t rEg_mULti_sz /d "flexsrv\0" /f
<SYSTEM32>\reg.exe adD "hkLm\sYsTEm\CuRrenTcoNtRoLSeT\seRvIcES\flexsrv" /v FailureActions /t rEG_BInaRY /d 00000000000000000000000003000000140000000100000060EA00000100000060EA00000100000060EA0000 /f
<SYSTEM32>\ipconfig.exe /flushdns
<SYSTEM32>\sc.exe boot ok
<SYSTEM32>\svchost.exe -k netwisvc
<SYSTEM32>\reg.exe adD "hkLm\sYsTEm\CuRrenTcoNtRoLSeT\seRvIcES\flexsrv\Parameters" /v ServiceDll /t ReG_EXpaND_Sz /d "<SYSTEM32>\dimax.dll" /f
<SYSTEM32>\reg.exe aDd "hklm\SOFTWARE\Microsoft\Internet Explorer\Main" /v TP /t ReG_Sz /d "1" /f
<SYSTEM32>\cmd.exe /c "%TEMP%\setup_winver.bat"
<SYSTEM32>\cmd.exe /c ""<Полный путь к вирусу>.exe" --uninstall > "%TEMP%\setup_winver.bat""
<SYSTEM32>\sc.exe CreATe "flexsrv" tyPE= share start= auto binPaTh= "<SYSTEM32>\svchost.exe -k netwisvc" DisplayName= "Windows Service TCP/IP Ordering"
<SYSTEM32>\netsh.exe fIrEwaLl aDD pOrToPEnIng tcP 8085 "HASPNT" eNABLe
<SYSTEM32>\netsh.exe FIReWAlL Add allOweDPrOgrAm naMe="FLEXlm License Service" prOGram="<SYSTEM32>\svchost.exe" mode=ENABLE

Изменения в файловой системе:

Создает следующие файлы:

Удаляет следующие файлы:

Самоудаляется.

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

se####.#3sachenbacher02.com/Search.php?v=##################################################

UDP: