Trojan-Ransom.Win32. Hexzone.aer

Данная троянская библиотека представляет собой Internet Explorer Browser Helper Object (BHO), стартующий при запуске Internet Explorer, который следит за активностью пользователя в интернете. Имеет размер 315904 байта.

Инсталляция

При регистрации создает в системе OLE объект с именем "ConnectionServices".

При этом в системном реестре создаются следующие ключи:

[HKCR\CLSID\{630CBBEB-17E4-47B4-B74B-BCAAC7EF52AB}]

[HKCR\elonnmdsturdsqm.Melonnmdsturd]

[HKCR\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{630CBBEB-17E4-47B4-B74B-BCAAC7EF52AB}]

[HKCR\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{630CBBEB-17E4-47B4-B74B-BCAAC7EF52AB}]

[HKLM\SOFTWARE\Classes\CLSID\{630CBBEB-17E4-47B4-B74B-BCAAC7EF52AB}]

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{630CBBEB-17E4-47B4-B74B-BCAAC7EF52AB}]

Троянец отображается в диалоге надстроек Internet Explorer.

Деструктивная активность

При открытии любой веб-страницы в Internet Explorer, в нижней части экрана отображается баннер порнографического содержания, предлагающий отключить себя, послав СМС на короткий платный номер.