Trojan.DownLoader30.30550

Техническая информация

Для обеспечения автозапуска и распространения

Изменяет следующие исполняемые системные файлы

<SYSTEM32>\comctl32.ocx
<SYSTEM32>\comdlg32.ocx
<SYSTEM32>\msinet.ocx

Изменения в файловой системе

Создает следующие файлы

<DRIVERS>\etc\hosts.ics

Удаляет следующие файлы

<DRIVERS>\etc\hosts

Подменяет файл HOSTS.

Сетевая активность

TCP

Запросы HTTP GET

http://ci######ongans.blogspot.com/
http://1.##.#logspot.com/-5W3LET6BVVg/VW_WQ-S4OPI/AAAAAAAAKHY/ahNb-ytVCXk/s1600/no-image.gif
http://3x#.##fastcdn.com/contents/s/e8/5d/e1/9674ada1b06b7f6e04c3a67906/01151910052865.jpeg?wi#######
http://3x#.##fastcdn.com/contents/s/91/48/37/c6cfc4debf155b68cc95c46a6c/01472075705065.jpeg?wi#######
http://3x#.##fastcdn.com/contents/s/20/a8/b7/bee12e5a17d18fd563b7ab4e95/0548363987882.png?wi#######
http://my.##mark.net/img.gif?f=#############################################
http://na####.#ropellerclick.com/11?rn###########################################################################################################################################################...
http://na####.#ropellerclick.com/9?z=############################################################################################################################################################...
http://na####.#ropellerclick.com/27/d2836bb1a77a16cd10ab9b0ebc81bc41
http://do##hen.com/fac.php
http://www.fa###ook.com/plugins/likebox.php?hr################################################################################################################################################
http://co#####.facebook.net/en_GB/sdk.js
http://www.ci####alongan.com/b/stats?st#################################################################################################################################################
http://www.ci####alongan.com/p/cit-is-expired.html
http://ci######ongans.blogspot.com/p/cit-is-expired.html
http://www.ci######ongans.blogspot.com/p/cit-is-expired.html
http://do##hen.com/apu.php?zo############
http://na####.#ropellerclick.com/1?z=#######
http://im##.#logblog.com/img/icon18_edit_allbkg.gif
http://aj##.#oogleapis.com/ajax/libs/jquery/2.0.0/jquery.min.js
http://www.ci####alongan.com/favicon.ico
http://www.ci####alongan.com/js/cookienotice.js
http://www.ci####alongan.com/
http://tr###cet.com/GAME2PROJECTPTASA/rokt12a.css
http://3.##.#logspot.com/-NRmqfyLwBHY/T4nwHOrPSzI/AAAAAAAAAdQ/8b9O7O1q3c8/s1600/fanclose.png
http://3x#.##fastcdn.com/contents/s/ba/33/00/7ecf6ecddc6f7f47c7cee4bb7f/01338362347090.png?wi#######

UDP

DNS ASK ci######ongans.blogspot.com
DNS ASK 3x#.##fastcdn.com
DNS ASK sc#######amt2-1.xx.fbcdn.net
DNS ASK my.##mark.net
DNS ASK co#####.facebook.net
DNS ASK fa###ook.com
DNS ASK fo###.gstatic.com
DNS ASK ma####.bootstrapcdn.com
DNS ASK fo###.#oogleapis.com
DNS ASK re#####es.blogblog.com
DNS ASK 4.##.#logspot.com
DNS ASK 1.##.#logspot.com
DNS ASK 2.##.#logspot.com
DNS ASK im##.#logblog.com
DNS ASK do##hen.com
DNS ASK na####.#ropellerclick.com
DNS ASK aj##.#oogleapis.com
DNS ASK bl##ger.com
DNS ASK tr###cet.com
DNS ASK ci####alongan.com
DNS ASK st#####x.facebook.com
DNS ASK 3.##.#logspot.com

Другое

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /c icacls <DRIVERS>\etc\hosts /reset' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c icacls <DRIVERS>\etc\hosts.ics /reset' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c icacls <DRIVERS>\etc\hosts /reset
'<SYSTEM32>\icacls.exe' <DRIVERS>\etc\hosts /reset
'<SYSTEM32>\cmd.exe' /c icacls <DRIVERS>\etc\hosts.ics /reset
'<SYSTEM32>\icacls.exe' <DRIVERS>\etc\hosts.ics /reset
'%ProgramFiles%\mozilla firefox\firefox.exe' -osint -url "http://ci######ongans.blogspot.com/"
'%ProgramFiles%\mozilla firefox\firefox.exe' -osint -url "https://www.ci####alongan.com/"
'%ProgramFiles%\mozilla firefox\firefox.exe' -osint -url "http://www.ci######ongans.blogspot.com/p/cit-is-expired.html"