Trojan.Inject1.31699

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe,%APPDATA%\skype.dat'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\svchost.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\qrpf-xyawrkowpvpzceznxyldddalllrq-yeuu-tuejdm-gnwiheuuvkfp-igdf-shexrzdkrpbf-ltxpfqftnwiqfc[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\lzlipbuxmpfmgnltcqsipvpvoacd-vyglxpqpkskgrgfp-dfejrgawzjgdpprgif-fmebrojuysdhykpynekqxq[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\zhrubtoahjyqybtirtcelm-myak-atqu-hexs-rnjlshwpsyqz-nqgd-qtus-bqrpxqkgxjatvnsnosnfnaneyeakxf[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\fplgsncexczjddonnennxxpmjw-yqgbpa-nslxiippnm-lgysvanabqgadrqz-gkro-exzh-jlex-rkmx-zofc-kgdi-ce[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\bfiqfzcj-ynspgbnnjk-cqqjouygjvawvpdidi-ytqn-rcxy-ybuknbohjlofxi-gart-rczjaktwclsnkodr-nsrp-vn[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ejdapljvzvyx-pajh-wgjxdwbfmynbowiqmvux-qkzvus-shxq-closdffalt-pvcdmy-gboy-gjqkdazmheqppfgjtw-[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\nlxjig-yhvaxl-syft-drzrjk-yjrc-sdqu-dmfvxl-yndr-wkfadrjtcnxj-bhacnwfmrufandkgrg-jpop-iovtoebana[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cnpmezeamvkortiooycngtlgelowbijuofatlt-igsnmprqoeix-iogn-ofonfz-spix-mytmqtdnkg-pvzo-zauuna-[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\wkclalbcgocnpmez-jggl-yhlt-ltsu-qtop-tsrzkyohiiqknlraxi-ripa-dkon-ddvlxjyxytvqvayxcjxjjzjx-yk[1].php
%APPDATA%\skype.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\yeohif-ejda-pljv-zvsd-nqtw-tmzotmtend-wign-xquk-nsvq-tifvxcxxmsshey-kscgeglxoa-lmtiqtfrebqjptst[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\gscdnb-vphe-rovn-vynn-nwcerggdcqzayxqrnqyn-nemxbqfpjpiggnfpcabisuvy-lluo-yvpr-nmsu-eacdeanfof[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\jutfofnoygfquo-bidncusnfc-ebuxrigayvjzty-judhoy-uugt-qtxc-kdht-abgatmllgbrkfczh-xlgj-yhzv-hexv-[1].php

Сетевая активность:

Подключается к:

'as##.xxuz.com':80
'ca####gspanish.in':80
'am####izontally.us':80

TCP:

Запросы HTTP GET:

as##.xxuz.com/o/qrpf-xyawrkowpvpzceznxyldddalllrq-yeuu-tuejdm-gnwiheuuvkfp-igdf-shexrzdkrpbf-ltxpfqftnwiqfc.php
ca####gspanish.in/tgp/lzlipbuxmpfmgnltcqsipvpvoacd-vyglxpqpkskgrgfp-dfejrgawzjgdpprgif-fmebrojuysdhykpynekqxq.php
am####izontally.us/tgp/zhrubtoahjyqybtirtcelm-myak-atqu-hexs-rnjlshwpsyqz-nqgd-qtus-bqrpxqkgxjatvnsnosnfnaneyeakxf.php
as##.xxuz.com/o/fplgsncexczjddonnennxxpmjw-yqgbpa-nslxiippnm-lgysvanabqgadrqz-gkro-exzh-jlex-rkmx-zofc-kgdi-ce.php
ca####gspanish.in/post/bfiqfzcj-ynspgbnnjk-cqqjouygjvawvpdidi-ytqn-rcxy-ybuknbohjlofxi-gart-rczjaktwclsnkodr-nsrp-vn.html
am####izontally.us/o/ejdapljvzvyx-pajh-wgjxdwbfmynbowiqmvux-qkzvus-shxq-closdffalt-pvcdmy-gboy-gjqkdazmheqppfgjtw-.php
as##.xxuz.com/o/jutfofnoygfquo-bidncusnfc-ebuxrigayvjzty-judhoy-uugt-qtxc-kdht-abgatmllgbrkfczh-xlgj-yhzv-hexv-.php
ca####gspanish.in/post/cnpmezeamvkortiooycngtlgelowbijuofatlt-igsnmprqoeix-iogn-ofonfz-spix-mytmqtdnkg-pvzo-zauuna-.html
am####izontally.us/o/wkclalbcgocnpmez-jggl-yhlt-ltsu-qtop-tsrzkyohiiqknlraxi-ripa-dkon-ddvlxjyxytvqvayxcjxjjzjx-yk.php
as##.xxuz.com/questions/nlxjig-yhvaxl-syft-drzrjk-yjrc-sdqu-dmfvxl-yndr-wkfadrjtcnxj-bhacnwfmrufandkgrg-jpop-iovtoebana.html
ca####gspanish.in/tgp/yeohif-ejda-pljv-zvsd-nqtw-tmzotmtend-wign-xquk-nsvq-tifvxcxxmsshey-kscgeglxoa-lmtiqtfrebqjptst.php
am####izontally.us/questions/gscdnb-vphe-rovn-vynn-nwcerggdcqzayxqrnqyn-nemxbqfpjpiggnfpcabisuvy-lluo-yvpr-nmsu-eacdeanfof.html