Trojan.Inject1.33310

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe,%APPDATA%\skype.dat'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\svchost.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\twwpwbjgnfwfmrhtcjtslgco-nnqukkxlpbruzrdicedrysiqzm-vpynld-sndg-ppoydg-ixeagnlaouvpak-rnqp[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mvko-rtiouulmldwk-dgks-kyllvpnfpbdnnhxx-xlxodikdvnzakondlm-titfhjxjxorpmpuuqc-awnlwixfruzo-[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ph-acuyqckfougjyv-rqjwftpvusfy-twtm-blouyvduyk-rtbwzakfvk-razmusopcl-fmrgll-jvtuxyxfamyepb-ex[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\xlsyftxplxstzhrucdipcafyqt-yqpmwp-kdce-iqfyig-nojhfasyvplgtiegdwcerufvyk-nbrt-jhkojv-cgjxky[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\atrzprxtgxtyebms-phsu-ebfz-nmbc-yxvqnecogauaxlpt-ouxq-lllldropsyiggxqnrkifco-jzqsbwuqxfheft[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\jvzvyxpajhel-uqfpjurgqzpigdyqfrxcbfvknnmxjlcqbi-diysxsjxfzuqqtgxcgwg-qcuysnddspykrkrgvk[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\zn-yjbq-rico-arzmfr-oxsr-xcsdddalnanejuoesueglxne-bhkd-ppcaxc-dmdd-tscralzrnlehouqusnqroyusuu[1].php
%APPDATA%\skype.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\jxqnjt-ixjx-qnjtixbcglcugoalqueb-vaatightprnovkfv-abioyh-xodgzoxfdivnbqteddxlbtjt-wiip-myfa-[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\wpwbjgnfwfmr-httwjvltro-elksvygxtujvkkeaxsxstyruxopb-nqioigglracjzavr-jlqr-pmga-owriyvwpri[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ducalajutfof-noygtm-napbnh-yxxj-exbq-ehsp-tyfvmrlzddjlqtvkjzpi-akusra-bayk-mvnn-iosdlzzncgfqro[1].html

Сетевая активность:

Подключается к:

'co####eenstube.in':80
'bu#####ngtribenets.us':80

TCP:

Запросы HTTP GET:

co####eenstube.in/main/ph-acuyqckfougjyv-rqjwftpvusfy-twtm-blouyvduyk-rtbwzakfvk-razmusopcl-fmrgll-jvtuxyxfamyepb-ex.html
bu#####ngtribenets.us/main/twwpwbjgnfwfmrhtcjtslgco-nnqukkxlpbruzrdicedrysiqzm-vpynld-sndg-ppoydg-ixeagnlaouvpak-rnqp.html
bu#####ngtribenets.us/main/atrzprxtgxtyebms-phsu-ebfz-nmbc-yxvqnecogauaxlpt-ouxq-lllldropsyiggxqnrkifco-jzqsbwuqxfheft.html
bu#####ngtribenets.us/blog/usqz-ukwg-rglzlipbgl-exdk-snte-ndbipbftcqyk-abrouagapy-rnsyxleapyxy-fqgl-fvnwlgddcl-lxfz-arfc-xq.php
co####eenstube.in/main/xlsyftxplxstzhrucdipcafyqt-yqpmwp-kdce-iqfyig-nojhfasyvplgtiegdwcerufvyk-nbrt-jhkojv-cgjxky.html
co####eenstube.in/blog/mvko-rtiouulmldwk-dgks-kyllvpnfpbdnnhxx-xlxodikdvnzakondlm-titfhjxjxorpmpuuqc-awnlwixfruzo-.php
co####eenstube.in/blog/jxqnjt-ixjx-qnjtixbcglcugoalqueb-vaatightprnovkfv-abioyh-xodgzoxfdivnbqteddxlbtjt-wiip-myfa-.php
bu#####ngtribenets.us/blog/zn-yjbq-rico-arzmfr-oxsr-xcsdddalnanejuoesueglxne-bhkd-ppcaxc-dmdd-tscralzrnlehouqusnqroyusuu.php
bu#####ngtribenets.us/main/ducalajutfof-noygtm-napbnh-yxxj-exbq-ehsp-tyfvmrlzddjlqtvkjzpi-akusra-bayk-mvnn-iosdlzzncgfqro.html
bu#####ngtribenets.us/main/jvzvyxpajhel-uqfpjurgqzpigdyqfrxcbfvknnmxjlcqbi-diysxsjxfzuqqtgxcgwg-qcuysnddspykrkrgvk.html
co####eenstube.in/blog/wpwbjgnfwfmr-httwjvltro-elksvygxtujvkkeaxsxstyruxopb-nqioigglracjzavr-jlqr-pmga-owriyvwpri.php