Trojan.Hosts.27375

Для обеспечения автозапуска и распространения:

Подменяет следующие исполняемые системные файлы:

Заражает следующие исполняемые файлы:

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ЅбКш.bat
'<SYSTEM32>\cmd.exe' /c c:\delus.bat
'<SYSTEM32>\attrib.exe' -r -s -h <DRIVERS>\etc\hosts
'<SYSTEM32>\attrib.exe' -r -s -h <SYSTEM32>\wbem\window\winxp
'<SYSTEM32>\attrib.exe' +r +s +h <DRIVERS>\etc\hosts
'<SYSTEM32>\cacls.exe' <DRIVERS>\etc /C /P system:N
'<SYSTEM32>\cacls.exe' <SYSTEM32>\wbem\window /C /P system:N
'<SYSTEM32>\attrib.exe' +r +s +h <SYSTEM32>\wbem\window\winxp
'<SYSTEM32>\cacls.exe' <DRIVERS>\etc\hosts /c /p %USERNAME%:f %USERNAME%s:f everyone:f system:f users:r
'<SYSTEM32>\cacls.exe' <DRIVERS>\etc\hosts /g everyone:f
'<SYSTEM32>\cacls.exe' <DRIVERS>\etc\hosts.ics /g everyone:f
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\shan.bat
'<SYSTEM32>\cacls.exe' <DRIVERS>\etc /g everyone:f
'<SYSTEM32>\attrib.exe' <DRIVERS>\etc\hosts.ics -h -r
'<SYSTEM32>\cacls.exe' <DRIVERS>\etc /T /C /P everyone:F
'<SYSTEM32>\cacls.exe' <SYSTEM32>\wbem\window /T /C /P everyone:F
'<SYSTEM32>\attrib.exe' <DRIVERS>\etc\hosts -h -r
'<SYSTEM32>\cmd.exe' /c їЄКј.bat

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: '(null)' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS' WindowName: '(null)'
ClassName: '(null)' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass' WindowName: '(null)'
ClassName: '(null)' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'GBDYLLO' WindowName: '(null)'
ClassName: 'OLLYDBG' WindowName: '(null)'
ClassName: 'FilemonClass' WindowName: '(null)'
ClassName: 'pediy06' WindowName: '(null)'

Изменения в файловой системе:

Создает следующие файлы:

C:\delus.bat
%PROGRAM_FILES%\ЅбКш.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\s[1].com&f=8&rsv_bp=1&rsv_spt=3&wd=%E6%9A%97%E7%BB%84&rsv_sug3=2&rsv_sug=0&rsv_sug1=2&rsv_sug4=158&inputT=3384
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\s[1]
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\s[1]
<SYSTEM32>\wbem\window\winxp
%PROGRAM_FILES%\sf.exe
<SYSTEM32>\shan.bat
%PROGRAM_FILES%\їЄКј.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\check80[1].htm
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\check80[1].htm

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

<SYSTEM32>\360
%PROGRAM_FILES%\sf.exe
<DRIVERS>\etc\hosts
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\check80[1].htm

Перемещает следующие системные файлы:

Подменяет файл HOSTS.

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

12#.#25.114.144/s?wo################################
12#.#25.114.144/s?tn############################################################################################################################################################################
1.######heng.sinaapp.com/hosts.txt
12#.#25.114.144/s?ie##############################################################################################################################

Запросы HTTP POST: