Trojan.Hosts.31739

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'mir-all component' = '%PROGRAM_FILES%\mir-all\upd.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = '%ALLUSERSPROFILE%\Application Data\Mozilla\bwlnzvl.dll'

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\gduivwf.job

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\CFCheat\newins.exe'
'%ALLUSERSPROFILE%\Application Data\Mozilla\sklfxjg.exe' Data\Mozilla\sklfxjg.exe -jytqpci
'%TEMP%\RarSFX0\mac.exe'
'%PROGRAM_FILES%\CFCheat\CFCheat.exe'
'%PROGRAM_FILES%\CFCheat\runme.exe'
'%PROGRAM_FILES%\CFCheat\4konya.exe'

Запускает на исполнение:

'<SYSTEM32>\wscript.exe' "%PROGRAM_FILES%\Fe\Oa\b222222.vbs"
'<SYSTEM32>\wscript.exe' "%PROGRAM_FILES%\Fe\Oa\a0000000.vbs"
'<SYSTEM32>\cmd.exe' /c ""%PROGRAM_FILES%\Fe\Oa\ooooooooopopopopopopopopopppopopo.bat" "

Завершает или пытается завершить

следующие пользовательские процессы:

opera.exe
chrome.exe

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Temp\htm\bgs\bg5.png
<LS_APPDATA>\Temp\htm\bgs\btn-accept.png
<LS_APPDATA>\Temp\htm\bgs\btn-back.png
<LS_APPDATA>\Temp\htm\bgs\bg4.png
<LS_APPDATA>\Temp\htm\bgs\bg1.png
<LS_APPDATA>\Temp\htm\bgs\bg2.png
<LS_APPDATA>\Temp\htm\bgs\bg3.png
<LS_APPDATA>\Temp\htm\bgs\btn-cancel.png
<LS_APPDATA>\Temp\htm\bgs\gun.png
<LS_APPDATA>\Temp\htm\bgs\money.png
<LS_APPDATA>\Temp\htm\bgs\original-button.png
<LS_APPDATA>\Temp\htm\bgs\ee3.PNG
<LS_APPDATA>\Temp\htm\bgs\btn-deny.png
<LS_APPDATA>\Temp\htm\bgs\btn-next.png
<LS_APPDATA>\Temp\htm\bgs\buttons.PNG
%PROGRAM_FILES%\mir-all\manifest.json
<LS_APPDATA>\Temp\htm\Page5.html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\2147566[1]
%PROGRAM_FILES%\mir-all\jquery.js
%PROGRAM_FILES%\mir-all\upd.exe
%PROGRAM_FILES%\mir-all\main.js
%PROGRAM_FILES%\mir-all\injected.js
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\608[1]
<LS_APPDATA>\Temp\htm\js\prototype\prototype.js
<LS_APPDATA>\Temp\htm\js\bramus\jsProgressBarHandler.js
<LS_APPDATA>\Temp\htm\bgs\aim.png
<LS_APPDATA>\Temp\htm\Page2.html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\open[1].php
<LS_APPDATA>\Temp\htm\Page4.html
<LS_APPDATA>\Temp\htm\Page3.html
<LS_APPDATA>\Temp\htm\bgs\wallhack.png
%ALLUSERSPROFILE%\Application Data\Mozilla\bwlnzvl.dll
%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\2.tmp
%PROGRAM_FILES%\Fe\Oa\a0000000.vbs
%PROGRAM_FILES%\Fe\Oa\kk099999999999kk.qrw
%PROGRAM_FILES%\Fe\Oa\cizfffffffffff.az
%PROGRAM_FILES%\Fe\Oa\b222222.vbs
%TEMP%\RarSFX0\mac.exe
%PROGRAM_FILES%\CFCheat\newins.exe
%PROGRAM_FILES%\CFCheat\CFCheat.exe
%PROGRAM_FILES%\CFCheat\4konya.exe
%PROGRAM_FILES%\CFCheat\runme.exe
%TEMP%\RarSFX0\Interop.IWshRuntimeLibrary.dll
%ALLUSERSPROFILE%\Application Data\Mozilla\sklfxjg.exe
<LS_APPDATA>\Temp\htm\page.html
<LS_APPDATA>\Temp\htm\images\bramus\percentImage.png
<LS_APPDATA>\Temp\htm\images\bramus\percentImage_back.png
<LS_APPDATA>\Temp\htm\images\icons\add.gif
<LS_APPDATA>\Temp\htm\images\bramus\percentImage.gif
<LS_APPDATA>\Temp\htm\bramus\percentImage.gif
<LS_APPDATA>\Temp\htm\bramus\percentImage.png
<LS_APPDATA>\Temp\htm\bramus\percentImage_back.png
<LS_APPDATA>\Temp\htm\images\icons\empty.gif
<LS_APPDATA>\Temp\htm\new.gif
<LS_APPDATA>\Temp\htm\style.css
%PROGRAM_FILES%\Fe\Oa\ooooooooopopopopopopopopopppopopo.bat
<LS_APPDATA>\Temp\htm\images\icons\set.gif
<LS_APPDATA>\Temp\htm\images\icons\fill.gif
<LS_APPDATA>\Temp\htm\images\icons\get.gif
<LS_APPDATA>\Temp\htm\images\icons\minus.gif