Trojan.Hosts.46652

Техническая информация

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\4r4r8yr1t7.exe
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\wef9wryg\errorpagestrings[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\4qwyjxrb\httperrorpagesscripts[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\yuk3f9l0\background_gradient[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\53q3wotx\info_48[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\wef9wryg\bullet[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\4qwyjxrb\dnserrordiagoff_weboc[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\yuk3f9l0\errorpagetemplate[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\53q3wotx\errorpagestrings[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\4qwyjxrb\background_gradient[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\4qwyjxrb\info_48[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\yuk3f9l0\info_48[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\53q3wotx\bullet[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\wef9wryg\down[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\53q3wotx\navcancl[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\yuk3f9l0\errorpagetemplate[2]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\yuk3f9l0\errorpagestrings[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\53q3wotx\httperrorpagesscripts[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\wef9wryg\background_gradient[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\53q3wotx\errorpagetemplate[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\wef9wryg\httperrorpagesscripts[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\yuk3f9l0\navcancl[1]
<Текущая директория>\res.ini
<Текущая директория>\res.exe
%TEMP%\1yzgnncu.0.vb
%TEMP%\1yzgnncu.cmdline
%TEMP%\1yzgnncu.out
%TEMP%\vbc8000.tmp
%TEMP%\res8001.tmp
<Текущая директория>\user ac1df9aaf.exe
<Текущая директория>\res.log
<Текущая директория>\user ac1df9aaf.res
%TEMP%\vbc967f.tmp
%TEMP%\jj0lxvks.0.vb
%TEMP%\jj0lxvks.cmdline
%TEMP%\jj0lxvks.out
%TEMP%\vbc8ae0.tmp
%TEMP%\res8ae1.tmp
%TEMP%\ybuojy5n.0.vb
%TEMP%\ybuojy5n.cmdline
%TEMP%\ybuojy5n.out
%TEMP%\res9680.tmp
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\yuk3f9l0\bullet[1]

Удаляет следующие файлы

%TEMP%\res8001.tmp
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\4qwyjxrb\background_gradient[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\wef9wryg\httperrorpagesscripts[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\53q3wotx\errorpagestrings[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\yuk3f9l0\errorpagetemplate[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\yuk3f9l0\navcancl[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\wef9wryg\bullet[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\53q3wotx\info_48[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\yuk3f9l0\background_gradient[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\4qwyjxrb\httperrorpagesscripts[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\wef9wryg\errorpagestrings[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\53q3wotx\errorpagetemplate[1]
%TEMP%\ybuojy5n.cmdline
%TEMP%\ybuojy5n.out
%TEMP%\ybuojy5n.0.vb
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\yuk3f9l0\info_48[1]
%TEMP%\vbc967f.tmp
%TEMP%\jj0lxvks.cmdline
%TEMP%\jj0lxvks.out
%TEMP%\jj0lxvks.0.vb
%TEMP%\vbc8ae0.tmp
%TEMP%\res8ae1.tmp
<Текущая директория>\res.ini
<Текущая директория>\res.log
<Текущая директория>\res.exe
<Текущая директория>\user ac1df9aaf.res
<Текущая директория>\user ac1df9aaf.exe
%TEMP%\1yzgnncu.out
%TEMP%\1yzgnncu.cmdline
%TEMP%\1yzgnncu.0.vb
%TEMP%\vbc8000.tmp
%TEMP%\res9680.tmp
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\53q3wotx\bullet[1]

Перемещает следующие файлы

<Текущая директория>\4r4r8yr1t7.exe в %HOMEPATH%\desktop\user 4r4r8yr1t7.exe

Подменяет следующие файлы

<Текущая директория>\res.exe
<Текущая директория>\user ac1df9aaf.exe
<Текущая директория>\res.log
<Текущая директория>\res.ini
<Текущая директория>\user ac1df9aaf.res

Изменяет файл HOSTS.

Самоудаляется.

Сетевая активность

UDP

DNS ASK en###eles.net
DNS ASK ek##nkk.net
DNS ASK fa###ook.com

Другое

Ищет следующие окна

ClassName: 'MS_WINHELP' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\res.exe' -extract <Текущая директория>\user AC1DF9AAF.exe,<Текущая директория>\user AC1DF9AAF.res,VERSIONINFO,,
'<Текущая директория>\res.exe' -delete <Текущая директория>\4R4R8YR1T7.exe,<Текущая директория>\res.exe,VERSIONINFO,,
'<Текущая директория>\res.exe' -addoverwrite <Текущая директория>\4R4R8YR1T7.exe,<Текущая директория>\4R4R8YR1T7.exe,<Текущая директория>\user AC1DF9AAF.res,VERSIONINFO,1,
'%HOMEPATH%\desktop\user 4r4r8yr1t7.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\1yzgnncu.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8001.tmp" "%TEMP%\vbc8000.tmp"' (со скрытым окном)
'<Текущая директория>\res.exe' -extract <Текущая директория>\user AC1DF9AAF.exe,<Текущая директория>\user AC1DF9AAF.res,VERSIONINFO,,' (со скрытым окном)
'<Текущая директория>\res.exe' -delete <Текущая директория>\4R4R8YR1T7.exe,<Текущая директория>\res.exe,VERSIONINFO,,' (со скрытым окном)
'<Текущая директория>\res.exe' -addoverwrite <Текущая директория>\4R4R8YR1T7.exe,<Текущая директория>\4R4R8YR1T7.exe,<Текущая директория>\user AC1DF9AAF.res,VERSIONINFO,1,' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jj0lxvks.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8AE1.tmp" "%TEMP%\vbc8AE0.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ybuojy5n.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9680.tmp" "%TEMP%\vbc967F.tmp"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C choice /C Y /N /D Y /T 5 & Del "<Полный путь к файлу>"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\1yzgnncu.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8001.tmp" "%TEMP%\vbc8000.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jj0lxvks.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8AE1.tmp" "%TEMP%\vbc8AE0.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ybuojy5n.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9680.tmp" "%TEMP%\vbc967F.tmp"
'<SYSTEM32>\cmd.exe' /C choice /C Y /N /D Y /T 5 & Del "<Полный путь к файлу>"
'<SYSTEM32>\choice.exe' /C Y /N /D Y /T 5

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней