Trojan.Hosts.46472

Техническая информация

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\504y08y448.exe
%TEMP%\n3l53n4t.out
%TEMP%\n3l53n4t.cmdline
%TEMP%\n3l53n4t.0.vb
%TEMP%\res7.tmp
%TEMP%\vbc6.tmp
%TEMP%\pmmy2ih1.out
%TEMP%\pmmy2ih1.cmdline
%TEMP%\pmmy2ih1.0.vb
%TEMP%\vbcb.tmp
<Текущая директория>\user 06a5b6909.res
<Текущая директория>\res.log
<Текущая директория>\user 06a5b6909.exe
%TEMP%\res2.tmp
%TEMP%\vbc1.tmp
%TEMP%\0iijuj5g.out
%TEMP%\0iijuj5g.cmdline
%TEMP%\0iijuj5g.0.vb
<Текущая директория>\res.exe
<Текущая директория>\res.ini
%TEMP%\resc.tmp

Удаляет следующие файлы

%TEMP%\res2.tmp
%TEMP%\n3l53n4t.cmdline
%TEMP%\vbcb.tmp
%TEMP%\resc.tmp
%TEMP%\pmmy2ih1.out
%TEMP%\pmmy2ih1.cmdline
%TEMP%\pmmy2ih1.0.vb
%TEMP%\vbc6.tmp
%TEMP%\res7.tmp
<Текущая директория>\res.ini
<Текущая директория>\res.log
<Текущая директория>\res.exe
<Текущая директория>\user 06a5b6909.res
<Текущая директория>\user 06a5b6909.exe
%TEMP%\0iijuj5g.0.vb
%TEMP%\0iijuj5g.out
%TEMP%\0iijuj5g.cmdline
%TEMP%\vbc1.tmp
%TEMP%\n3l53n4t.out
%TEMP%\n3l53n4t.0.vb

Перемещает следующие файлы

<Текущая директория>\504y08y448.exe в C:\users\user\desktop\user 504y08y448.exe

Подменяет следующие файлы

<Текущая директория>\res.exe
<Текущая директория>\user 06a5b6909.exe
<Текущая директория>\res.log
<Текущая директория>\res.ini
<Текущая директория>\user 06a5b6909.res

Изменяет файл HOSTS.

Самоудаляется.

Сетевая активность

UDP

DNS ASK en###eles.net
DNS ASK fa###ook.com

Другое

Ищет следующие окна

ClassName: 'MS_WINHELP' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\res.exe' -extract <Текущая директория>\user 06A5B6909.exe,<Текущая директория>\user 06A5B6909.res,VERSIONINFO,,
'<Текущая директория>\res.exe' -delete <Текущая директория>\504Y08Y448.exe,<Текущая директория>\res.exe,VERSIONINFO,,
'<Текущая директория>\res.exe' -addoverwrite <Текущая директория>\504Y08Y448.exe,<Текущая директория>\504Y08Y448.exe,<Текущая директория>\user 06A5B6909.res,VERSIONINFO,1,
'C:\users\user\desktop\user 504y08y448.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\0iijuj5g.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"' (со скрытым окном)
'<Текущая директория>\res.exe' -extract <Текущая директория>\user 06A5B6909.exe,<Текущая директория>\user 06A5B6909.res,VERSIONINFO,,' (со скрытым окном)
'<Текущая директория>\res.exe' -delete <Текущая директория>\504Y08Y448.exe,<Текущая директория>\res.exe,VERSIONINFO,,' (со скрытым окном)
'<Текущая директория>\res.exe' -addoverwrite <Текущая директория>\504Y08Y448.exe,<Текущая директория>\504Y08Y448.exe,<Текущая директория>\user 06A5B6909.res,VERSIONINFO,1,' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\pmmy2ih1.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7.tmp" "%TEMP%\vbc6.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\n3l53n4t.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC.tmp" "%TEMP%\vbcB.tmp"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C choice /C Y /N /D Y /T 5 & Del "<Полный путь к файлу>"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\0iijuj5g.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\pmmy2ih1.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7.tmp" "%TEMP%\vbc6.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\n3l53n4t.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC.tmp" "%TEMP%\vbcB.tmp"
'<SYSTEM32>\cmd.exe' /C choice /C Y /N /D Y /T 5 & Del "<Полный путь к файлу>"