Win32.HLLW.Autoruner1.35794

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'smss.exe' = '%WINDIR%\system\smss.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe %WINDIR%\system\csrss.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe %WINDIR%\system\smss.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe %WINDIR%\system\alg.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'alg.exe' = '%WINDIR%\system\alg.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe %WINDIR%\system\explorer.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '%WINDIR%\system\explorer.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '%WINDIR%\system\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'csrss.exe' = '%WINDIR%\system\csrss.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe %WINDIR%\system\ctfmon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'winguard.exe' = '<Текущая директория>\%ALLUSERSPROFILE%\Start Menu\Programs\Startup\winguard.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe C:\Users\All Users\Desktop\winguard.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe %ALLUSERSPROFILE%\Start Menu\Programs\Startup\winguard.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe %ALLUSERSPROFILE%\Start Menu\Programs\Startup\sysupdater.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'sysupdater.exe' = '<Текущая директория>\%ALLUSERSPROFILE%\Start Menu\Programs\Startup\sysupdater.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe %WINDIR%\system\svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svchost.exe' = '%WINDIR%\system\svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'wingui.exe' = '%WINDIR%\system\wingui.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'winguard.exe' = '<Текущая директория>\C:\Users\All Users\Desktop\winguard.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe %WINDIR%\system\wingui.exe'

Создает или изменяет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Startup\winguard.exe
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\sysupdater.exe

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\Autorun.inf
<Имя диска съемного носителя>:\zombiepuzzle_DMD_PiDel.exe
<Имя диска съемного носителя>:\zombiepuzzle_DMD_PiDel\zombiepuzzle_DMD_PiDel.exe

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' K:\*.* -s -h -r -a /s /d
'<SYSTEM32>\attrib.exe' L:\*.* -s -h -r -a /s /d
'<SYSTEM32>\attrib.exe' M:\*.* -s -h -r -a /s /d
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerF.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerE.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerD.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerC.bat
'<SYSTEM32>\attrib.exe' J:\*.* -s -h -r -a /s /d
'<SYSTEM32>\attrib.exe' I:\*.* -s -h -r -a /s /d
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerL.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerK.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerN.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerM.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerJ.bat
'<SYSTEM32>\attrib.exe' N:\*.* -s -h -r -a /s /d
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerG.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerI.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\scannerH.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterI.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterH.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterJ.bat
'<SYSTEM32>\attrib.exe' <Имя диска съемного носителя>:\*.* -s -h -r -a /s /d
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterG.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterD.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterC.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterF.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterE.bat
'<SYSTEM32>\attrib.exe' H:\*.* -s -h -r -a /s /d
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterM.bat
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterN.bat
'<SYSTEM32>\attrib.exe' G:\*.* -s -h -r -a /s /d
'<SYSTEM32>\attrib.exe' E:\*.* -s -h -r -a /s /d
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterK.bat
'<SYSTEM32>\attrib.exe' C:\*.* -s -h -r -a /s /d
'<SYSTEM32>\cmd.exe' /c %WINDIR%\system\updaterL.bat
'<SYSTEM32>\attrib.exe' F:\*.* -s -h -r -a /s /d

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\system\scannerK.bat
%WINDIR%\system\scannerL.bat
%WINDIR%\system\scannerM.bat
%WINDIR%\system\scannerJ.bat
%WINDIR%\system\scannerG.bat
%WINDIR%\system\scannerH.bat
%WINDIR%\system\scannerI.bat
%WINDIR%\system\scannerN.bat
%WINDIR%\system\csrss.exe
%WINDIR%\system\ctfmon.exe
%WINDIR%\system\explorer.exe
%WINDIR%\system\smss.exe
%WINDIR%\system\wingui.exe
%WINDIR%\system\svchost.exe
%WINDIR%\system\alg.exe
%WINDIR%\system\scannerF.bat
%WINDIR%\system\updaterG.bat
%WINDIR%\system\updaterH.bat
%WINDIR%\system\updaterI.bat
%WINDIR%\system\updaterF.bat
%WINDIR%\system\updaterC.bat
%WINDIR%\system\updaterD.bat
%WINDIR%\system\updaterE.bat
%WINDIR%\system\updaterJ.bat
%WINDIR%\system\scannerC.bat
%WINDIR%\system\scannerD.bat
%WINDIR%\system\scannerE.bat
%WINDIR%\system\updaterN.bat
%WINDIR%\system\updaterK.bat
%WINDIR%\system\updaterL.bat
%WINDIR%\system\updaterM.bat

Удаляет следующие файлы:

%WINDIR%\Microsoft.NET\Framework\v4.0.30319\UninstallCommon.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\UninstallMembership.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallSqlStateTemplate.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallWebEventSqlProvider.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\UnInstallProfile.SQL
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\UninstallRoles.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\UninstallPersistSqlState.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\UninstallPersonalization.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallMembership.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallPersistSqlState.sql
%WINDIR%\Microsoft.NET\Framework\v3.5\SQL\EN\SqlPersistenceProviderSchema.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallCommon.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallRoles.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallSqlState.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallPersonalization.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallProfile.SQL
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\SqlPersistenceService_Schema.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\SqlWorkflowInstanceStoreLogic.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\SqlPersistenceProviderSchema.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\SqlPersistenceService_Logic.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\Tracking_Schema.sql
<SYSTEM32>\instcat.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\SqlWorkflowInstanceStoreSchema.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\Tracking_Logic.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\UninstallWebEventSqlProvider.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\DropSqlPersistenceProviderLogic.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\UninstallSqlState.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\UninstallSqlStateTemplate.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\DropSqlWorkflowInstanceStoreSchema.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\SqlPersistenceProviderLogic.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\DropSqlPersistenceProviderSchema.sql
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\SQL\en\DropSqlWorkflowInstanceStoreLogic.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallPersonalization.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallProfile.SQL
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallMembership.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallPersistSqlState.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallSqlStateTemplate.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallWebEventSqlProvider.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallRoles.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallSqlState.sql
<Имя диска съемного носителя>:\zombiepuzzle_DMD_PiDel\zombiepuzzle_DMD_PiDel.exe
%WINDIR%\Microsoft.NET\Framework\v1.1.4322\InstallPersistSqlState.sql
<Имя диска съемного носителя>:\Autorun.inf
<Имя диска съемного носителя>:\zombiepuzzle_DMD_PiDel.exe
%WINDIR%\Microsoft.NET\Framework\v1.1.4322\UninstallSqlState.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallCommon.sql
%WINDIR%\Microsoft.NET\Framework\v1.1.4322\InstallSqlState.sql
%WINDIR%\Microsoft.NET\Framework\v1.1.4322\UninstallPersistSqlState.sql
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Workflow Foundation\SQL\EN\SqlPersistenceService_Schema.sql
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Workflow Foundation\SQL\EN\Tracking_Logic.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\UninstallWebEventSqlProvider.sql
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Workflow Foundation\SQL\EN\SqlPersistenceService_Logic.sql
%WINDIR%\Microsoft.NET\Framework\v3.5\SQL\EN\DropSqlPersistenceProviderSchema.sql
%WINDIR%\Microsoft.NET\Framework\v3.5\SQL\EN\SqlPersistenceProviderLogic.sql
%WINDIR%\Microsoft.NET\Framework\v3.0\Windows Workflow Foundation\SQL\EN\Tracking_Schema.sql
%WINDIR%\Microsoft.NET\Framework\v3.5\SQL\EN\DropSqlPersistenceProviderLogic.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\UninstallPersistSqlState.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\UninstallPersonalization.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\UninstallCommon.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\UninstallMembership.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\UninstallSqlState.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\UninstallSqlStateTemplate.sql
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\UnInstallProfile.SQL
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\UninstallRoles.sql

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация